Folgendes Problem ich möchte mittels Hyperlink eine Variable übergeben ohne das der User dies sieht sprich index.php?ac=5400 habe ich momentan stehen jeder user kann ja ac ändern und auf gut glück versuchen etwas zu manipulieren.

Nun meine Frage geht es anders und wenn ja wie

mfg Spikaner

Du könntest das in einer Session an die nächste Seite geben.

Oder mit versteckten Formularen.

Eine andere Möglichkeit wäre mit mod_rewrite oder fals das nicht vorhanden ist mit

PHP-Code:

$parameter[] = explode('/' , $_SERVER['REQUEST_URI'])
//$_SERVER['PHP_SELF'] sollte auch gehen 


eigene urls basteln.
Hat allerdings den Nachteil, dass man alle internen Links mit absoluten Pfaden angeben muss.

Ich glaube ich werde es über versteckte Formulare machen (in diesen Fall) und grafisch an meine wünsche anpassen.

@mayermart thx für den denkanstos

mfg Spikaner

Die Hidden-Formulare können im FF mit dem Web-Developertool sichtbar gemacht werden und sind so auch manipulierbar.

Gruß

Manipulierbar ist fast alles.
Die Session Variante wäre dabei am wenigsten anfällig.
Für die hidden Formulare kann man für jedes ein zweites Formular anlegen, in das man den Wert des ersten mit md5 ( $formularwert . $salatwert ) speichert.
Im nächsten Script muss der Wert + hash dann übereinstimmen.
Ansonsten wurde manipuliert und man gibt einen Fehler aus.

Dann mach ich das Thema nochmal auf ,
über Session kann ich es net machen da ich ja nicht weiß was der User wählt bzw. wählen könnte, ausser ich erstelle eine Session mit den kompletten Inhalt der Datenbank (mom. ca 4000 zeilen) was net wirklich brauchbar ist.

Das mit md5 usw hab ich mir auch schon überlegt sprich ich verschlüssel gleich mal alles was aus den sqlquery kommt setze es als "wert" und entschlüssel es bei der Auswertung wieder.

Sprich diesen "wert" braucht der User nie sehen der dient ausschlieslich für Berechnungen und wird auch nie ausgegeben.

Entschlüsseln von md5 ist so nicht möglich..

Um welche Werte handelt es sich denn?

Meine Empfehlung wäre serialisieren, mit einem Key enkodieren und das gleiche wieder zurück.
So könntest du sogar ein Array übergeben.

Beispiele für das Verschlüsseln von Daten gibt es im mcrypt Buch.
serialize()

Bei richtiger Validierung kannst du die Seite entsprechend richtig vor Manipulationen schützen - was im Endeffekt am Sinnvollsten ist

Zitat von Felix Jacobi

Meine Empfehlung wäre serialisieren, mit einem Key enkodieren und das gleiche wieder zurück.
So könntest du sogar ein Array übergeben.

Soweit ist es nun.. ich möchte ein Array übergeben, bekomme es aber nicht gebacken.. hat jemand evtl. nen kleinen Codeschnipsel oder Beispiel wie das aussieht ?

mfg Spikaner

Hallo,

zur md5-Verschlüsselung: Du kannst den Übergabewert verschlüssen, aber nachher nicht mehr entschlüsseln, d.h. du musst das mit einem ebenfalls verschlüsselten Wert vergleichen.

Aber der Aufwand ist gar nicht notwendig. Du kannst ja einfach eine Whitelist verwenden, d.h. du prüfst den Übergabewert auf Korrektheit und führst erst dann die entsprechende Aufgabe aus. Wenn der User etwas anderes in der Adressleiste eingibt und damit etwas manipulieren könnte oder sich sogar Zugang zu etwas verschafft, was er gar nicht darf, leitest du einfach z.B. auf eine Fehler-Seite weiter...

Ich hab das bis jetzt bei all meinen Projekten so gemacht und halte dass für die vernünftigste und schnellste Lösung.

Lg Andi

Zitat von Dörti.Hermi

Du kannst den Übergabewert verschlüssen, aber nachher nicht mehr entschlüsseln, d.h. du musst das mit einem ebenfalls verschlüsselten Wert vergleichen.

Gerade die Existenz einer Umkehrfunktion ist wesentlicher Bestandteil einer Verschlüsselung. Existiert diese nicht, ist es auch keine Verschlüsselung.
Das heißt: MD5 keine Verschlüsselung. Also bezeichnen wir es auch bitte nicht als eine solche sondern einfach als Hash-Funktion.


Aber um was für Daten handelt es sich eigentlich dabei?

Zitat von Gumbo

Aber um was für Daten handelt es sich eigentlich dabei?

Ich hohle peer RAND 10 Datensätze aus der DB und will dann Zahlen übergeben zwischen 1 und 900 (kein Text), dabei handelt es sich um Sekundenangaben, Positionen etc. die auf keinen fall manipuliert werden dürfen. auf der "selben" Seite kann ich sie nicht verarbeiten da ich sonst keine "Zwischenmeldung" mehr einblenden kann.

mfg Spikaner

Dann könntest du doch mit einer Sitzung arbeiten und die erlaubten Werte dort speichern.