Laravel 保护表单隐藏字段和 url

Question

我使用刀片进行了编辑以编辑资源，如下所示：

{{Form::model( $post ,['action'=> ['PostController@update', 'id' => $post->id], 'method' => 'post'])}}

生成带有动作的表单

http://example.com/posts/edit/123

还有我的字段，有文本和隐藏输入

看到这个网址，不怀好意的用户很容易更新其他帖子。

如果 id 被检查器操纵，我如何保护路由以使其失败？是否有任何内置的 wat 来标记 id 以确保它匹配？这也可以应用于所有隐藏的输入吗？

谢谢

编辑：

我的隐藏字段用法示例： 我的帖子一般都是问答，当用户尝试添加问题的答案时，我将 question_id 设置为隐藏字段，并且我想检查它是否被操纵。

Answer 1

为了保护路线，您应该检查PostController@update 中的权限。

在方法开始检查用户是否可以编辑给定的帖子：

public function update($postId)
{
    $post = Post::findOrFail($postId);

    if ($post->user_id !== Auth::id()) {
        abort(403, 'Unauthorized action.');
    }

    // validate, update record, etc.
}

Answer 2

Limonte 的回答是正确的，以确保能够编辑其他人的帖子 - 您应该始终这样做。回答你问题的后半部分：

我将 question_id 设置为隐藏字段，我想检查它是否被操纵。

问题在于您可以永远信任客户端向您的系统提供的数据。您必须始终假设它已被篡改。

帮助最小化风险的一个选项是您可以使用encryption service by Laravel 来执行此操作：

{{ Form::hidden('question_id', Crypt::encrypt($question_id)) }}

然后在你的控制器中

$question_id = Crypt::decrypt(Input::get('question_id'));

只需确保您在 app.php 配置文件中设置了随机应用程序加密密钥