安全性问题

Question

jsphp安全

Answer 1

很乱！！
简单说，用管理员添加一个分组$.post(
    './xxxx.php?g=aa&c=bb&a=cc',
    {group:'测试'}
)连到bb控制器的cc动作，执行添加分组的操作，'测试'写数据库里
既然用户都能看到这段代码，那随便在console里post一下，不就在数据库里写一条么！这种怎么解决，编辑分组编辑部门 编辑人员 都会与服务端产生数据互动！  根本不能保证安全啊！ 验证码确实可以解决，但是一个页面下来要N个验证码。

Answer 2

很乱！！
简单说，用管理员添加一个分组$.post(
    './xxxx.php?g=aa&c=bb&a=cc',
    {group:'测试'}
)连到bb控制器的cc动作，执行添加分组的操作，'测试'写数据库里
既然用户都能看到这段代码，那随便在console里post一下，不就在数据库里写一条么！这种怎么解决，编辑分组编辑部门 编辑人员 都会与服务端产生数据互动！  根本不能保证安全啊！ 验证码确实可以解决，但是一个页面下来要N个验证码。
汗。。都说你服务器都没有验证是否登陆，是否有权限进行哪种操作的？你进行操作肯定要判断用户是否登陆了系统，是否有权限进行哪种操作的啊。。登陆系统的时候就应该用session或者cookie什么的记录用户的相关权限信息如果你的服务器端连这个都没做，那就没有办法了，那不是找到了你的接口直接发送到你数据接口

Answer 3

很乱！！
简单说，用管理员添加一个分组$.post(
    './xxxx.php?g=aa&c=bb&a=cc',
    {group:'测试'}
)连到bb控制器的cc动作，执行添加分组的操作，'测试'写数据库里
既然用户都能看到这段代码，那随便在console里post一下，不就在数据库里写一条么！这种怎么解决，编辑分组编辑部门 编辑人员 都会与服务端产生数据互动！  根本不能保证安全啊！ 验证码确实可以解决，但是一个页面下来要N个验证码。
汗。。都说你服务器都没有验证是否登陆，是否有权限进行哪种操作的？你进行操作肯定要判断用户是否登陆了系统，是否有权限进行哪种操作的啊。。登陆系统的时候就应该用session或者cookie什么的记录用户的相关权限信息如果你的服务器端连这个都没做，那就没有办法了，那不是找到了你的接口直接发送到你数据接口我说的就是登录之后的情况，东西做好了让大家用，用户登录了，再遇上像你这样的高手，F12一下，找到POST源码，看看数据传送规则，轻松就能改数据库啊！你说用session，服务端又不会管是不是别人手动post过来的，数据传到同样的方法里，执行的方式都是一样的！ 

Answer 4

就算找到了接口也只能修改我自己的数据啊，那你就不需要管我是直接用你的系统操作还是用调试工具或者自己写代码post数据了就如博客，列表肯定只显示我自己的，我要修改也只能修改我的，你这个要在服务器端做控制，博客加sendby记录是谁发的，这样就算别人找到了博客修改的接口，他直接post数据和博客id要修改指定id的博客，在修改前你要判断这个博客是否是这个用户的select count(id) form blog where id=post的id and sendby=登陆时记录的用户id如果为0说明不是这个用户发布的就直接结束后续的修改代码就行了。。所以“服务端又不会管是不是别人手动post过来的”确实是不管数据怎么提交的，但是要管是否有权限进行这个操作