bensky
Erfahrenes Mitglied
...versuche ich gerade sicher zu machen aber mit fehlen zwei Ideen die man einfach nur wissen muss.
1. Ich lege User immer(Sie sich selber), dumm wie ich bin, über autoincrement meiner mySQL Datenbank an. Also user1 = 1 user2 = 2 etc.....
Wie mache ich das besser/wie macht ihr das? Zusätzlich mit ner random Funktion um dann statt User_id = "1" // User_id ="Z2sj(k" stehen zu haben?
Ziel soll sein, sich nicht irgendwie die Proifile ansehen zu können wenn man mal statt 1 ne 2 eingibt. Mir is klar das das nicht so einfach bei sessions geht aber ich will das später auch für Artikel oder Bilder machen, dass man nicht einfach die "1" bei Post_id=1 durch ne 2 ersetzt und den zweiten post sieht. oder 1.jpg // 2.jpg etc....
Wie macht Ihr das? Brauch nurn kurzen Tip ;=)
2. Ich benutze derzeit immer billige und schlechte SQL funktion wie diese Beiden:
Hier die lösch Geschichten:
Die Werte $user , $post etc. werden natürlich in der Browserzeile angezeigt und so könnte man ganz billig einfach andere Zahlen auf gut glück einsetzen und versuchen irgendwelche Post zu löschen/updaten oder per insert vollzuspammen.
Wie geht ihr mit hocher Sicherheit an solche Sachen dran?
Mit generierten Werten(ID's) oder was macht man da?
Dank im Voraus
1. Ich lege User immer(Sie sich selber), dumm wie ich bin, über autoincrement meiner mySQL Datenbank an. Also user1 = 1 user2 = 2 etc.....
Wie mache ich das besser/wie macht ihr das? Zusätzlich mit ner random Funktion um dann statt User_id = "1" // User_id ="Z2sj(k" stehen zu haben?
Ziel soll sein, sich nicht irgendwie die Proifile ansehen zu können wenn man mal statt 1 ne 2 eingibt. Mir is klar das das nicht so einfach bei sessions geht aber ich will das später auch für Artikel oder Bilder machen, dass man nicht einfach die "1" bei Post_id=1 durch ne 2 ersetzt und den zweiten post sieht. oder 1.jpg // 2.jpg etc....
Wie macht Ihr das? Brauch nurn kurzen Tip ;=)
2. Ich benutze derzeit immer billige und schlechte SQL funktion wie diese Beiden:
PHP:
$INSERT = "INSERT INTO posts SET
DATE ='$DATE',
NAME ='$NAME',
WWW ='$www',
TEXT ='$TEXT' WHERE user_id = $user_id AND post_theme = $posttheme";
if(@mysql_query($INSERT))
{
echo "bla";
}
Sollte ich zusätzlich noch für die inserts und updates htmlenties oder so benutzen?Hier die lösch Geschichten:
PHP:
<?
if($del == "loeschen")
{
//Datenbank & Connection
include('sqlconnect.php');
// Zusatzdaten
$del = "DELETE FROM post WHERE user=$user AND artikel =$artikel AND group=$group";
if(@mysql_query($INSERT))
{
echo('ok');
}
else
{
echo("<p>FEHLER" .
mysql_error() ."</p>");
}
}
?>Die Werte $user , $post etc. werden natürlich in der Browserzeile angezeigt und so könnte man ganz billig einfach andere Zahlen auf gut glück einsetzen und versuchen irgendwelche Post zu löschen/updaten oder per insert vollzuspammen.
Wie geht ihr mit hocher Sicherheit an solche Sachen dran?
Mit generierten Werten(ID's) oder was macht man da?
Dank im Voraus
