防止用户使用 FireBug 之类的东西编辑复选框值？

Question

我有一个管理页面，其中列出了一堆记录，每条记录旁边都有一个复选框，用于将其设置为“活动”状态。每个复选框都有一个值，该值与数据库中记录的 ID 相关联。如果有人使用 FireBug，他们可以轻松地将复选框的值更改为不同的数字，从而影响数据库中的错误记录。

我并不十分担心这种情况的发生，因为它只是一个只有一个用户的管理页面，我敢肯定他对 FireBug 一无所知.. 但我只是好奇以防我遇到这个问题面向公众的页面上的未来。

这是我目前拥有的代码，以便您了解我在做什么。

HTML + PHP..

<input type="checkbox" class="active" name="active<?php echo $id; ?>" id="active<?php echo $id; ?>" <?php if ($active == 1): ?>checked="checked"<?php endif; ?> value="<?php echo $id; ?>">

jQuery ajax..

$("input.active").click(function() {

var loader = $(this).prev().prev();

$(loader).css("visibility","visible");
// store the values from the form checkbox box, then send via ajax below
var check_active = $(this).is(':checked') ? 1 : 0;
var check_id = $(this).attr('value');

console.log(check_active);
console.log(check_id);

    $.ajax({
        type: "POST",
        url: "active.php",
        data: {id: check_id, active: check_active},
        success: function(){
            $(loader).css("visibility","hidden");

        }
    });
return true;
});

这里是active.php..

<?php

include("dbinfo.php");
mysql_connect($server,$username,$password);
@mysql_select_db($database) or die( "Unable to select database"); 

$active = mysql_real_escape_string($_POST['active']);
$id = mysql_real_escape_string($_POST['id']);

$addEntry = "UPDATE entries SET active = '$active' WHERE id = '$id'";
mysql_query($addEntry) or die(mysql_error());


mysql_close();
?>

Answer 1

您应该设置一个$_SESSION 值，其中包含他们的帐户信息，这样如果他们尝试访问一个不存在的帐户，您可以捕获它并适当地标记它。只需他们帐户的 ID 号就足够了。您绝对应该不将其放在隐藏字段或用户可以更改的任何地方。

Answer 2

你不能。

firebug 可以完全控制 HTML。

但是您并不担心 HTML，您实际上担心用户会在 active.php 中做一些奇怪的事情，而这正是您应该添加更多保护的地方。

如果管理员有权编辑条目的活动状态，那么他应该能够以您允许的任何方式编辑他想要的任何条目。

您描述的一些恶意 admin 可以更改 HTML 中的 id 并通过错误的记录更改活动状态的安全问题与更恶意的 用户 相比微不足道strong> 可以像您的 ajax 脚本一样向您的 active.php 页面发送发布请求，但使用他的服务器，有效地可以更改任何条目上的任何活动状态。

你应该做的是对 active.php 执行某种身份验证

使用 SESSIONS 或 HTTP