这是使用 $_GET 的合理安全方式吗

Question

我只是一个周末编码员，只从事我自己的项目，但我想以一种相当安全的方式使用 $_GET。我通常使用表中的 $_GET ，其中包含许多我想对其执行某些操作（编辑、删除）的项目。你们中的任何一位退伍军人是否看到我创建的功能或更简单更优雅的方法存在任何安全问题？感谢您的任何意见，谢谢。

<?php session_start();
if (empty($_SESSION['SecretKey'])) {
    $_SESSION['SecretKey'] = bin2hex(openssl_random_pseudo_bytes(16));
}

function GetURLEncode($ArrayData,$SecretKey,$Echo = true) {
    $GetQuery = http_build_query($ArrayData,'','&');
    $Checksum = http_build_query(Array("Checksum" => hash_hmac('ripemd160', $GetQuery, $SecretKey)));
    if ($Echo) {
        echo '<a href="?'.$GetQuery.'&'.$Checksum.'">'.htmlspecialchars($ArrayData['Action']).'</a>';
    } else {
        return "?".$GetQuery."&".$Checksum;
    }
}

function GetURLDecode($GetData,$SecretKey,&$ReturnData) {
    $Checksum = $GetData['Checksum'];
    unset($GetData['Checksum']);
    $GetQuery = http_build_query($GetData,'','&');
    if (hash_equals(hash_hmac('ripemd160', $GetQuery, $SecretKey),$Checksum)) {
        $ReturnData = $GetData;
        return true;
    }
    $ReturnData = "";
    return false;
}

if (!empty($_GET)) {
    if (GetURLDecode($_GET,$_SESSION['SecretKey'],$ReturnData)) {
        echo "Array Returned<br>";
        echo var_dump($ReturnData)."<br><Br>";
    } else {
        echo "Checksum Error<br><br>";
    }
}

//Example 1
$MyArray1 = Array ("FirstName" => "John",
                   "LastName" => "Doe",
                   "Adderss" => "12345 MyStreet",
                   "City" => "Apple Valley",
                   "State" => "California");

echo "Sample 1<br>";
$URL = GetURLEncode($MyArray1,$_SESSION['SecretKey'],false);
echo '<a href="'.$URL.'">Click Me</a>';

//Example 2
$MyArray2 = Array(Array("Id" => 0,"Make" => "Chevy","Model" => "HHR"),
                  Array("Id" => 1,"Make" => "Chevy","Model" => "Corvette"),
                  Array("Id" => 2,"Make" => "Ford","Model" => "Mustang"),
                  Array("Id" => 3,"Make" => "Nissan","Model" => "Sentra"),
                  Array("Id" => 4,"Make" => "Ford","Model" => "Ranger"),
                  Array("Id" => 5,"Make" => "Dodge","Model" => "Charger"));?>
<br><br>
<table>
    <th>sample 2</th>
<?php foreach ($MyArray2 as $Array) { ?>

    <tr>
        <td><?= $Array['Make'];?></td>
        <td><?= $Array['Model'];?></td>
        <td><?php GetURLEncode(array("Id"=>$Array['Id'],"Action"=>"Edit"),$_SESSION['SecretKey']);?></td>
        <td><?php GetURLEncode(array("Id"=>$Array['Id'],"Action"=>"Delete"),$_SESSION['SecretKey']);?></td>
    </tr>
<?php } ?>

</table>

Answer 1

周末编码员你好，我看到使用 GET 方法的唯一问题是用户可以直接更改 url 中的 GET 数据。例如，让我们以 youtube 为例（至少在过去），每个 youtube 视频都有一个 GET 值v，它的值是一些随机的 64 位字母数字十六进制哈希，你可以直接在 URL @ 中看到它987654322@ 既然是这样，您可以手动更改此值，因为您更改了video id number，它会将您带到另一个视频。这很有用，因为您可以复制此链接并将其发送给您的朋友。

另一方面，POST 是不同的，因为您不能真正直接更改正在发送的 POST 数据值。虽然也有一些恶作剧的方式，但也有一些方法，这就是为什么 POST 表单和值总是需要表单验证的原因！！！

如果我们将 youtube 的方法更改为使用 POST，则所有 youtube 视频都将 youtubeDOTcom 作为 URL，并且视频 ID 将作为 POST 隐藏在页面下方。现在用户无法直接看到自己视频的随机唯一 ID，也无法将链接发送给其他人进行分享。

希望这能解释一下，这取决于您发送的信息类型。如果您认为它应该是安全的并且对所有用户不可见，请使用 POST。如果您希望经常共享和更改链接以查看不同的页面、媒体等，这不是保密的，您可以使用 GET