PTT數位生活區 / PHP

[請益] 如何確保post是安全的

看板PHP作者 (臉都歪了)時間13年前 (2012/10/01 17:37), 編輯推噓6(6推 0噓 9→)
留言15則, 11人參與, 最新討論串1/1
如題 今天我做的網頁被別人用post攻擊了 上面有關一些金錢的資訊 我接收端有做REFFER的Check 似乎還是不夠 利用Md5+key做驗證碼 可是別人只要開網頁原始碼 複製一模一樣的驗證碼 到我這邊還是會驗證通過 到底要怎麼樣做 才能防止人家寫form來post到我的網站 不可能鎖Client端IP 因為那是讓使用者來請求服務的 -- ※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 60.248.110.133
→
10/01 17:41, , 1F
為什麼驗證碼可以從網頁原始碼取得？
10/01 17:41, 1F
→
10/01 17:50, , 2F
不是會hidden在input裡面傳到接收端做驗證嗎
10/01 17:50, 2F
推
10/01 18:31, , 3F
把你大概流程說一說吧
10/01 18:31, 3F
網頁的內容大概就是使用者會選擇金錢 設定是下拉式選單 然後post到後端扣錢 我發現有使用者自己帶 負數 金錢 這樣 -(-100)就變成 +100 發現後我把負數這個可能性給去掉了 可是我覺得這是治標不治本 人家還是可以自己寫東西post到我的後端 可是我卻擋不住他 ※ 編輯: kencool107 來自: 60.248.110.133 (10/01 18:41)
推
10/01 18:51, , 4F
檢查Valve有沒有+-*/阿 有就取代或返回錯誤就好
10/01 18:51, 4F
→
10/01 18:51, , 5F
這就檢驗再檢驗吧 記得絕對不要把form取出的東西直接放
10/01 18:51, 5F
→
10/01 18:53, , 6F
到SQL裡 可以用陣列對應 只有對應到的東東才合法
10/01 18:53, 6F
推
10/01 19:35, , 7F
regexp很好用的
10/01 19:35, 7F
推
10/01 21:11, , 8F
哪來送一個9^30 不知道會發生怎樣的事? XDD
10/01 21:11, 8F
→
10/01 21:30, , 9F
沒法檔, 你只能好好檢查.
10/01 21:30, 9F
推
10/02 00:05, , 10F
"不可能" 你就只能好好做過濾
10/02 00:05, 10F
推
10/02 02:56, , 11F
如果金鏄數值回定的話 以充值卷的形式在資料庫做吧
10/02 02:56, 11F
→
10/02 02:57, , 12F
以充值卷ID對應資料庫中的金額 而不是直接POST金額
10/02 02:57, 12F
→
10/02 09:39, , 13F
我了解了 就是不把敏感的資訊輕易地放在html裡面
10/02 09:39, 13F
→
10/02 21:22, , 14F
不, 應該是「不輕信client傳來的任何資訊」
10/02 21:22, 14F
→
10/03 11:53, , 15F
你的系統運作的可能有瑕疵，你是無法阻止Client端偽造資料的
10/03 11:53, 15F
‣ 更多 kencool107 的文章
文章代碼(AID): #1GQMH6Ct (PHP)
PHP 近期熱門文章
更多 近期熱門文章 >>
PTT數位生活區 即時熱門文章
更多 即時熱門文章 >>
‣ 更多 kencool107 的文章
文章代碼(AID): #1GQMH6Ct (PHP)