使用 GET 执行数据库操作的快速、简单且安全的方法

Question

我确信这里有一个方法/最佳实践问题已经得到解决，但我无法根据我输入的模糊搜索词找到解决方案。

我知道以“快速而简单”开始这个问题可能会引起一些叹息，所以我很抱歉。

这是交易。

我有一个登录区域，管理员可以在其中执行一系列 POST 操作来输入与其个人资料相关的数据。我的数据结构方式非常独特，并且在大多数表中都进行了很好的分段，因为它与管理员的 ID 相关。

现在，我有一个表，将一种类型的数据转储到其中，并通过为每条记录分配 ADMIN 的唯一 ID 来区分这些数据。换句话说，所有 ADMIN 都向该表写入这种类型的数据。我只是通过每条记录的 ADMIN ID 来区分。

我计划让管理员通过单击带有查询字符串的链接来删除这些记录 - 显然是使用 GET。显然，查询结构位于链接中，因此任何登录的管理员都可以利用该 URL 并删除竞争对手的记录。

这是通过 POST 安全执行此操作的唯一方法，还是我应该传递包含密码的会话信息并根据请求删除的 ADMIN ID 对其进行验证？

这对我来说显然是更多的工作。

正如他们在我曾经工作过的汽车维修行业所说的那样……工作有 3 种方法：快、好、便宜。您一次只能拥有两个。又快又便宜就不好了。又好又便宜的周转速度不会很快。又快又好并不便宜。哈哈，

我想这也适用于这里……永远不可能同时拥有快速、简单和安全；）

提前致谢……

Answer 1

作为一般规则，任何更改状态（无论是会话状态还是数据库状态）的操作都应使用 POST。这意味着您可以使用 GET 执行的唯一“安全”SQL 操作是 SELECT。即使您只使用后端管理功能，也不应该使用 get。想象一下，重新打开浏览器，发现上次关闭 Firefox 是在“删除所有内容”GET->删除页面，导致所有内容再次被删除。

这样做的主要原因之一是防止跨站点请求伪造。例如，如果您有一个采用 GET 变量的页面，例如 http://example.com/account ?action=logout，攻击者可以在您的网站上发布图像，如下所示：

<img src="http://example.com/account?action=logout" />

任何打开包含该图像标签的页面的人都会立即注销，即使他们是管理员。然后在原始数据库中搜索该数据并将其删除会非常烦人。

尽管 POST 操作“几乎”很容易伪造，但作为任何 Web 安全问题的一般规则，权衡是速度/简单性与安全性，因此您必须选择其中之一。

Answer 2

您应该设置某种会话。

就安全性而言，使用 POST 而不是 GET 不会给你带来任何实际的好处。 POST 可以像 GET 一样被伪造。

因此，假设您的管理员登录后，您在会话中获得了某种标识符，您只需利用它即可。

考虑一下与此大致类似的情况：

<?PHP
session_start();

if (empty ($_SESSION['admin_id'])) die("Log in, son.");

if (empty($_GET['record_id'])) die("You've got to tell me which record to delete!");

if (! is_numeric($_GET['record_id'])) die("Invalid record ID");

//just to be totally safe, even though we just enforced that it's numeric.
$record_id = mysql_real_escape_string($_GET['record_id']));

$sql = "DELETE FROM table WHERE record_id='{$record_id}' AND admin_id = {$_SESSION['admin_id']}";

mysql_query($sql);

echo "Record was deleted (assuming it was yours in the first place)";
?>

在该示例中，我们通过利用 DELETE 查询中的 WHERE 子句来避免“删除其他人的记录”问题。当然，为了更加用户友好，您需要首先获取记录，然后将记录上的 admin_id 与 $_SESSION 中的 admin_id 进行比较，如果它们不匹配，则抱怨，记录一些内容，抛出错误，等

。

Answer 3

您的意思是：“如果 Admin 123 直接访问 Admin 321 的 URL，从而删除他的内容会怎么样？” 不？

如果是这样，那么每个登录的管理员都应该至少有一个会话，其中包含该管理员的一些唯一标识符。如果不是，他一开始就不应该进入管理部门。不能只比较 URL 中的标识符和会话中的标识符吗？

如果任何用户（不仅仅是管理员）访问这些“删除我”URL，他应该被会话识别为该数据的原始“所有者”（管理员）。