向高手求教：php post提交问题-tutoriel php-php.cn

php post提交

小虾做了一个程序：通过Ajax 技术调用后台PHP的执行过程向Mysql写数据库，功能是实现了。
后来发现有用户通过 url直接拼凑参数手工通过网址输入方式调用php的执行过程。
问题1：有什么好的办法可以禁止直接手工通过网址向后台提交呢？
我查了一些帮助，大意是提交前：通过时间t向后台提交获得相对应的加密键值k1,
在正式提交时，将t与k1都提交，后台通过t重新加密得出k2，如果k1与k2相同，则执行写入数据库过程。
问题2：这种方式，增加了获取键值k1这个过程，肯定比不获取k1多费时间。有什么办法规避呢？
问题3：获取加密键值k1这个过程又如何保证不被别人直接手工通过网址向后台调用呢？
恳请高人指点！
谢谢先！

回复讨论(解决方案)

我一般是这么干的

具体的代码

然后就没有了，就是把最后的“?>”去掉了，这样直接提交过来的页面会因为语法错误而执行不了

我一般是这么干的

具体的代码

然后就没有了，就是把最后的“?>”去掉了，这样直接提交过来的页面会因为语法错误而执行不了
-------
这个解决方法有点“偏方”的味道。。。，
真诚感谢回复！

说实话B/S架构很难避免server端接收的数据一定是由你希望的Browser端发送过来的，毕竟server端只是提供一个页面供客户端请求，接收请求后开始运行。就算是用session验证登录也可以被模拟，所以很难做到接收的数据一定是由你返回页面所产生的，至少我没想到有什么办法，呵呵。
建议在表单上添加一些hidden，通过验证hidden的值来判断（类似楼主所提的方法），但这些方法还是可以被模拟的，只能防范技术较低的人。

我不知道有防范这种调用方式的方法. 毕竟接口写出来就是让用的,只要符合规则让它调用就是了,接口内尽量写的安全些..

关于少写?>xuzuning版大讲过,这样才是更规范更合适的写法, PHP会自动把最后一行后边的换行和空格全部删掉.至于是否对楼主的问题有效就不清楚了,.

使用sesseion可以防止恶意注入数据，具体方法： http://www.ibihuo.com/show-60.html

你的后台是不需要登录的么？

to anglegz : 你从高度回复了我的疑惑，不过我的应用都是B/S的，改成 B/C的目前不可能；
to anyilaoliu : 接口写安全些是一个解决方案，用户手工网址方式提交本质就是跳过了ajax检查步骤直接送到后台；
to ahui_lcm: 是需要登录的，目前是登录后的用户(不登录是不能提交的)，在同一台机器上再开一个相同的浏览器，手工在地址栏上提交非法数据。
to y244360439: 你的链接中“然后将这个值用sesseion存储起来,$_SESSEION['hash'] = $hash；
”，如何保证写session的存储过程不被用户单独调用呢？我的理解写session过程也是带参数的post提交，这也可以通过手工在地址栏提交，是不是我理解得不对？
多谢各位，还有没有其它建议?

在前台用js做的限制和判断要在PHP中再判断一次否则遇到你说这种绕开js验证的时候就悲剧了

在前台用js做的限制和判断要在PHP中再判断一次否则遇到你说这种绕开js验证的时候就悲剧了
------------------------------------
如果在后台再判断一次，这时候就需要post更多的参数用来作为判断与限制的变量。在这个post的过程中，就又会有手工网址方式输入的方式对输入变量作假了。哎，不还是有漏洞么!?

如果手工输入的变量都是符合要求的  应该不会担心吧?
-----------------------------------
手工输入的变量都是符合要求的，自然没有问题。  问题是用户提交“非法”数据。

各位大拿，还有没有无漏洞的方案呢？
目前依据我的判断，用户已经可以获取到"hidden" 变量值的。

手动的话hidden当然可以拿到就在dom节点中

用户提交"非法"数据你如何判断它是非法的? 既然是非法的又能判断,判断出来后不继续执行不就可以了...

手动的话hidden当然可以拿到就在dom节点中

用户提交"非法"数据你如何判断它是非法的? 既然是非法的又能判断,判断出来后不继续执行不就可以了...
--------------------
“非法”结论是通过后来人工分析数据得出的。
按照你的说法，就是在现有js 检查判断“提交数据值”基础上，将相应的核查重新在php上再进行一次。这个方案我觉得可以尝试一下，前提条件是：我能够依据后台已经有的数据重新推导出前台用于判断的参数变量，而不是将前台参数变量直接提交到数据库中后使用。
此方法值得一试！这样就不需要在session中记录加密键值什么的了。

必须不能直接进数据库进数据库之前要检测下是否有可能引起注入攻击的代码

除非是个人测试站,没有直接入库的.

最近我正在写这么一个东西，目前没有很好的办法，参数都可以模拟，后台你如何限制呢，参数又都是合法的

这样的一般 csrf

地址栏上的参数，能用$_POST取的到？你在程序里用$_POST接收表单传过来的数据。如果他用地址栏直接输入参数，难道$_POST会接收到？

模拟是另一种需求，绝对防止是不可能的。

增加难度是可以的。与需求

我一般是这么干的

具体的代码

然后就没有了，就是把最后的“?>”去掉了，这样直接提交过来的页面会因为语法错误而执行不了
没看懂

to y244360439: session是后台随机生成的，不会受到用户的干扰，discuz也是用的这种办法，他的很多操作都有formharsh值，就是这个原理
---------------------------
我想找个类似的参考一下，
只找到了 SWFUpload 的源码，它的处理为：
1）前台调用页面的JS 中对URL参数赋值："PHPSESSID" : ""
2）在后台执行脚本中对sessionid检查并赋值：
// Code for Session Cookie workaround
if (isset($_POST["PHPSESSID"])) {
session_id($_POST["PHPSESSID"]);
} else if (isset($_GET["PHPSESSID"])) {
session_id($_GET["PHPSESSID"]);
}
真心没有找到在JS中如何实现"sesseion存储起来,$_SESSEION['hash'] = $hash”? 可否指导一下具体如何操作？不行下载discuz源码在琢磨一下。
to ahui_lcm: 看了提交代码，获取变量都是通过 $_REQUEST[‘xxx']方式的，后面改$_POST，应该是代码一大改进。我这个现学现卖的半吊子漏马甲了：）

做进一步的说明，你可以再看下，不明白可以在网站上q我， http://www.ibihuo.com/show-60.html

你可以自己?一?加密解密函?,例如:
ajax提交到??的一?url http://localhost/a.php?key=REWTR54365EY&val=??

其中key的值是使用php的加密函?加密之後的?容(例如:自定?加密函?("要提交的?果")),提交到a.php之後用解密函?得到key的值(然後和要提交的?果作比?),看看是否符合本次提交的需求

其实可以用加密键，同样post到接受页面，在接受页面解密和验证key，

使用$_SERVER["HTTP_REFERER"]判断是不是来自你的页面。伪造$_SERVER["HTTP_REFERER"]是违法的。技术上没有破解不了的东西。

做进一步的说明，你可以再看下，不明白可以在网站上q我， http://www.ibihuo.com/show-60.html
------------------------------------------
我准备试用你说的加密与解密的方法，提交加密通过Ajax的变量 data: "hash="+hash 来实现，可是客户端获取后台PHP 生成的 $hash 值我没有很好的方法（我的前台与被调用的后台是分在不同的2个文件中的）。目前找到获取后台PHP生成$hash值的方法也是单独通过ajax调用，个人觉得这种获取过程降低了提交效率，同时也可能会泄密。
可否详细说一下$_SESSEION['hash'] 前台是如何获取的呢？不胜感激！

1、只用 $_POST 接受提交，可使url参数无效
2、在 cookie 中，置入识别字（包括sessionid）。但cookie可轻易获取，不能确保安全
3、利用js提交（包括动态加入识别字）。一般工具不会执行js，情况会有些好转。但不能排除人工跟踪后进行通讯干预

1、只用 $_POST 接受提交，可使url参数无效
2、在 cookie 中，置入识别字（包括sessionid）。但cookie可轻易获取，不能确保安全
3、利用js提交（包括动态加入识别字）。一般工具不会执行js，情况会有些好转。但不能排除人工跟踪后进行通讯干预
---------------------------------------
1、只用 $_POST 接受提交，可使url参数无效
----> 前面ahui_lcm 提到过，已经修改了，对于对付手工地址非法输入确实有效。
2、在 cookie 中，置入识别字（包括sessionid）。但cookie可轻易获取，不能确保安全
----> 后面可以加进去，虽然不确保安全，也算是增加被攻破的难度。
3、利用js提交（包括动态加入识别字）。
----> 增加识别字，考虑过增加验证码的识别方法，后来觉得用户操作会变得多一步，影响用户使用感受，目前暂不考虑此方法了。
集思广益，多谢各位回复！

1、只用 $_POST 接受提交，可使url参数无效
2、在 cookie 中，置入识别字（包括sessionid）。但cookie可轻易获取，不能确保安全
3、利用js提交（包括动态加入识别字）。一般工具不会执行js，情况会有些好转。但不能排除人工跟踪后进行通讯干预

我是php新手，版主能否详细说一下2,3条是什么意思？