编辑评论 - javascript、php 协同工作

Question

大家好，我面临一个相当严重的安全错误。让我首先概述我的代码。

<li class="comment">
    <form action="" method="POST" name="edit-form" class="edit-area">
        <textarea style="width: 100%; height: 150px;"><?php echo $response->comment; ?></textarea>
    </form>

    <div class="comment-area" style="padding-top: 2px"><?php echo (parseResponse($response->comment)); ?></div>

        <p class="ranking">
            <?php if ($response->user_id == $user_id) : ?>
                    <a href="" class="editting" data-user="<?php echo md5(convert($response->user_id)); ?>" data-edit="<?php echo $response->short; ?>">Edit</a> &bull; <a href="#d">Delete</a> 
            <?php else : ?>
                <a href="#">Like (<?php echo $response->likes; ?>)</a> &bull; <a href="#">Dislike (<?php echo $response->dislikes; ?>)</a>
            <?php endif; ?>
        </p>                                        
</li>

这是我体内的内容，这是相关的 JS

$('.editting').bind('click', function(event) {
            var num = $(this).data('edit');
            var user = $(this).data('user');

            if ($(this).hasClass('done')) {

                var newComment = $('#comment-' + num + ' .edit-area textarea').val();
                var dataString = 'newComment='+ newComment + '&num=' + num;

                if(newComment == '')
                {
                    alert('Comment Cannot Be Empty!');
                }
                else
                {
                    $.ajax({
                        type: "POST",
                        url: "edit.php",
                        data: dataString,
                        success: function(){}
                    });

                    $('#comment-' + num + ' .edit-area').slideDown('slow', function() {
                    $('#comment-' + num + ' .edit-area').addClass('invisible');
                    });     
                    $('#comment-' + num + ' .comment-area').slideUp('slow', function() {
                        $('#comment-' + num + ' .comment-area').removeClass('invisible');
                    });
                    $(this).removeClass('done');
                    $(this).html('Edit');
                }



            }

            else {                  
                $('#comment-' + num + ' .comment-area').slideDown('slow', function() {
                    $('#comment-' + num + ' .comment-area').addClass('invisible');
                });

                $('#comment-' + num + ' .edit-area').slideUp('slow', function() {
                    $('#comment-' + num + ' .edit-area').removeClass('invisible');
                });

                $(this).html('Done');
                $(this).addClass('done');


            }

            return false;


        });

，工作正常，但我遇到了问题。如果用户找到评论（不是他们自己的）并使用像 firebug 这样的插件，他们可以用另一个替换 response->short ，并编辑任何评论。当然，在 edit.php 中，我可以根据响应表检查短路并查看用户是否签出，但我想找到一种不显示文本区域的方法，除非该用户确定该响应。

这可能吗？

提前致谢， 将要

Answer 1

这可能吗？

当然......但它不会阻止用户/修复您的安全漏洞。要解决此问题，请检查服务器端，始终仔细检查服务器端应安全的任何内容，永远不要相信您的输入。尝试执行恶意操作的用户不会被 JavaScript 中的任何内容阻止...向您的服务器发送他们不应该做的数据正是他们会做的事情第一的。

Answer 2

就像尼克说的；永远不要相信 JavaScript 测试！

它可能适用于“普通用户”，但当涉及到避免黑客攻击时，您不妨要求黑客单击一个按钮来“证明”他的输入是有效的！

您的验证器脚本正在其他人的计算机上运行，​​因此他/她将能够操纵它（甚至使用 NoScript 等将其转变）