如何防止用戶訪問其他用戶記錄？

Question

在Zend Framework Album示例上進行擴展，如何防止用戶編輯其他記錄？

我正在使用Zend Framework 2，PHP，MYSQL和ZFC用戶Rbac。

目前，網址中顯示了“專輯”編號。 如果用戶已登錄，則表將顯示他們的記錄（相冊）。 但是，如果他們去編輯相冊，它將在URL中顯示唯一的相冊編號。 然后，用戶可以更改此項以編輯其他相冊。 預防這種情況的最佳方法是什么？ 另外，這是我可以/應該在URL中顯示記錄ID之前加鹽的一種方法嗎？

感謝您的時間和投入。

馬特

Answer 1

這是一些偽代碼，試圖說明我在評論中所談論的內容。

$albumId = /*however you retrieve parameters*/;
$album = /*however you get album*/
$user = /*however you get user*/

if ($album->getOwner()->getId() != $user->getId()) {
    //redirect to another page with an error message
}