防止隐形表单被轻易黑客入侵

Question

摘要

如果表单设置为 display:none 并且其字段通过 javascript 填充了一些任意的 html 代码，那么提交时需要什么样的数据清理/表单安全性？

背景

我正在使用 JQuery 插件 DataTables 来重新格式化并显示按组小计的数据。除了美中不足之外，它的效果很好：通过 TableTools 将表格导出为 PDF（或其他形式） 扩展会产生原始格式，而不是分组和小计格式。经过讨论 与 DataTables/TableTools 作者一起，我得出的结论是我需要以不同的方式导出。

我制作了一个按钮，将修改后的表 html 而不是原始 html 提交到使用 mpdf 创建 pdf 文件的 php 脚本。它通过填充“不可见”表单然后提交来实现这一点。效果很好。

但我担心提交 html 的隐形表单会让我很容易受到滥用。当输入是任意时，确保发布的输入是我所期望的最好方法是什么？

代码

<!--HTML-->
<button name='Make PDF' id='butPDF'/>

<form action='makepdf.php' method='post' name='mpdf' 
      id='mpdf' style='display:none'>
  <textarea name='pdf_html'></textarea>
</form>

---

//javascript
$(document).ready(function() {
  $('.datatable').dataTable( {
    //process table into desired format      
  });

  $('button#butPDF').onClick(
    function(){
       var html= get_my_stuff();//collect up the desired bits
       $('textarea[name="pdf_html"]').val(html);
       $('form#mpdf).submit();
    }
  );
});

---

<?php
include(_MPDF_PATH . "mpdf.php");

$html=$_POST['pdf_html'];
$stylesheet = file_get_contents(LOCAL_INCLUDE.'css/mpdf.css');

$mpdf=new mPDF();
$mpdf->WriteHTML($stylesheet,1,true);
$mpdf->WriteHTML($html, 2,false);
$mpdf->Output('myfile.pdf','D'); //D for download
exit;
?>

Answer 1

也许添加另一个表单字段并检查是否也已填写。提交后查看是否填写，则说明该表单已被机器人强制填写。