检查表数据是否已在萤火虫中被操纵的最简单方法是什么

Question

我有一张桌子，显然每一行都有 id。当用户点击表格行时，他会被带到显示完整数据的不同页面（不同页面实际上是加载事件后未隐藏的同一页面）。

我正在使用 jquery 获取点击事件，然后将 id 发送到 jquery load 并加载到数据中。

问题是这样的。如果使用该页面的人安装了 firebug，他可以操纵桌子上的 id 并可能访问他不应该访问的东西。

所以我不得不编写一个函数来检查该用户是否可以访问传入的 id。

function checkID($searchColumn,$userColumn,$tablename,$table_id,$user_id)
{
    Global $db;
    $query = "SELECT `{$userColumn}` FROM $tablename WHERE `{$searchColumn}`=?";
    //echo $query;
    $stmt = $db->prepare($query);
    $stmt->bind_param('i',$table_id);
    $stmt->execute();
    $stmt->bind_result($myuser_id);

    if($stmt->fetch())
    {
        if($myuser_id==$user_id):
            return true;
        else:
            return false;
        endif;
    }   
}

基本上，上面的函数根据用户是否可以访问该 id 给我一个真或假。

有没有更好的方法来检查服务器端的 firebug 是否对数据进行了操作？

基本上，我想确保发送到服务器的 id 与表中的 id 相同，并且没有被 firebug 操纵。尽管我的功能有效，但我一直在想也许有一个更简单的解决方案。专业人士是做什么的？

Answer 1

来自客户端的数据总是需要在服务器端进行验证和清理。

即如果$searchColumn、$userColumn、$tablename、$table_id 和$user_id 作为请求变量进来，你需要检查它们的有效性。特别是$userColumn、$tablename和$searchColumn需要仔细检查SQL注入，因为它们是在你调用prepare()之前添加的。
如果您不需要灵活性，您应该在字符串中输入表名和列名。

您甚至可以将用户 ID 保留在服务器端（作为会话变量），并且只在登录时设置一次，这样您就可以完全摆脱检查。不过，引用用户数据的表仍然需要有一个包含用户 ID 的列。

为确保用户只能访问他应该看到的数据，您需要在查询中包含用户 ID。

示例：

假设您有 1 到 m 关系的订单和订单商品。您向用户显示他已下订单的列表。当用户现在选择一个订单来显示其商品时，您可以在查询中包含用户 ID，以确保该用户无法访问其他用户的订单。

那么 SELECT 语句可能如下所示：

SELECT oi.name,
       oi.description
       oi.price
FROM order_item oi
INNER JOIN order o ON o.id = oi.order_id
WHERE o.id = ?
  AND o.userID = ?

当用户随后提供其他用户订单的 ID 时，不会有任何商品退回。

这也可以分两步完成，首先对order 表进行查询以检查订单是否已分配给用户，如果是，则对订单项进行查询。