Manualai.lt Forumas

Sveiki,
Turiu bėdą - reikia apsaugos, kad įkėlus url kaip paveikslėlį man jo neatidarytų.. Gal kas turit įdėjų kaip tai padaryti? skaičiau, kad su token, tačiau radau tik formoms. Kita mintis yra jquery, jei window yra blurred ar kažkas tokio, die... Na net nežinau Tad ir klausiu, kaip galima apsisaugoti, kad neitu keisti duomenų pasitelkus kitą puslapį?

Ps. Kam tokia problema? Reikia, kad žmogus pabandęs tokį dalyką nieko nepeštu, nes ir taip yra 3 sesijos sukurtos, kurios nurodo kas per vartotojas ir filtruoja duomenis, bet.. Norisi ir tokių nepalikti

Tiesa, prie to pačio, jei žinot kas url, kur yra dažniausios saugumo klaidos - pasidalinkit


Ačiū labai kas padės

Na ta prasme, sakykim turiu url su:
web.com?page=delete&id=123
jei aš šitą įdedu į paveikslėlio src, tada man įvykdo tą užklausą, tai yra trina failą. Kaip nuo to apsisaugoti?

Yra kas taip daro, tad reikia apsaugos nuo to

Na kaip ir

Token'as galbūt ir tiktų, tačiau kaip jį aplamai naudoti?

Na kaip ir nebloga mintis Kas kokį 30 minučių generuoji tokeną, o jį perduodi su url. Jei geras - trini, o jei negeras - ne

Tiesa, gal žinai dar kokių patarimų dėl dažnai paliekamų klaidų?

Gintai jau per skype kalbam, bet šiaip jo, geras url

Tik problema, kad esu matęs daugiau ir rimtesnių

Apskritai šnekant apie token'us, manau, tai neatsiejama saugumo dalis. Ilgą laiką jau dirbu su codeigniter ir pas man jame token'ai visada ON

Gal gali plačiau kaip naudoti ne su CI

Na ta prasme, sakykim turiu url su:
web.com?page=delete&id=123
jei aš šitą įdedu į paveikslėlio src, tada man įvykdo tą užklausą, tai yra trina failą. Kaip nuo to apsisaugoti?

Pirmiausiai, tai pagal REST, HTTP ir visa ko filosofijas, GET negali daryti naujų įrašų, trinti esamų ir pan. GET iš esmės yra listinimas, apsauga – TIK TIEK. Padarymas šito POST jau iškart apsaugos nuo kišimo į img src. Tiesa, nepadės nuo iframe ir pan.

O bendzaminas paminėjo esmę – čia yra CSRF bėda. Sprendimas tas pats paprasčiausias – sesijoje (ar sausainėlyje – jei kartais norėtum daryti requestą su JS). Ir su kiekvienu bet kokios formos siuntimu tikrintum, ar POST'e ir sesijoje ta reikšmė sutampa. jei ne, dedi kokį 403 ir esi laimingas

Justinai, taip, negalima, tačiau man dabar reiktų kiekvienam mygtukui kurti naują formą? Nelogiška Geriau url ir sugalvoti, kaip jį apsaugoti.

Mintis yra tokia, kad padaryti kaip minėjo Lukas - į url įkišti token'ą, o jį keisti kas 10-30 minučių. Manau tada problemos nebus

dazniausiai token'as keiciasi kiekvienai uzklausai, kai kurie tokenai savyje tiesiog turi uzkoduota info ir nesikeicia, jei ta info nesikeicia.