Variablen???

[coloxer]

hi....

habe jetzt lange an so nem shop rumgebastelt....bin jetzt endlich hintergstiegen.....funktioniert einwandfrei...aber mich beschäfitgt noch etwas:

Bei Eingabe einer Menge eines Artikels und Bestätigung wird eine Warenkorbinsert Funktion gestartet, die gleichzeitig eine Session startet(Aktuelle Session-ID wird abgefragt->ist keine vorhanden wird eine erstellt --> Kombination aus IP und Zufallszahl und eine md5 Verschlüsselung). Übergebe danach nur noch Variablen per string, da die Session-ID ja steht. Artikel werden dann mit der Sessionid in den Warenkorb eingetragen........Nach der Bestellung wird die Session dann zerstört!!

Globale Variablen (z.B. $HTTP_GET_VARS).....hab da mal was gehört.....notwendig???Ist meine Methode auf irgendeine Art und weise unsicher??

 

[Flex]

Da du die Prefix $_GET und $_POST nicht benutzt, weiß PHP nicht woher die Variable kommt, sprich wenn du eine Var per Formular übergibst könnte jeder User der sich etwas auskennt, diese auch in der URL übergeben und dadurch Sachen verfälschen...

Aus meiner Sicht ist dies eine Sicherheitslücke

Dazu kommt das Problem das bei manchen Hostern register_globals nicht an ist und du die Prefixe nutzen MUSST. Aber dies ist bisher eher selten, jedoch bleibt abzuwarten wie sich das weiterentwickelt...

 

[coloxer]

Kannst du das etwas genauer erläutern.....wenn ich $_GET und$_POST verwende sieht man die übergaben in der entsprechenden url doch auch.....oder hab ich da was falsch verstanden.....datenbankzugriff hat doch der jenige eh nicht...der code wird doch serverseitig ausgeführt...

 

[Flex]

Hmm, ich kanns nicht, aber php.net kann es =)

http://www.php.net/manual/de/security.registerglobals.php

Have Fun