امنیت ورودی کاربر

[spy ir]

سلام
دوستان در قسمت ثبت نام,



if(isset($_GET['Succesfully']))
{
echo "<h1 style=font-weight:bold;color:#FF0000;text-align:center;>ثبت نام با موفقیت انجام شد</h1>";
}





یعنی اگه کاربر عضو شد بیاد این پیغام رو نشون بده و در قسمت url یک succesfully هم نمایش بده....

حالا مشکل اینجاس وقتی کاربر عضو هم نشه اگر داخل url به صورت دستی succesfully وارد کنه پیغام ثبت نام با موفقیت انجام شد رو نمایش میده ...برای اینکه جلوی این کار رو بگیرم باید چی کار کنم؟


بعضی از دوستان گفتن از referer استفاده کنم.ولی متاسفانه نمیتونم باهاش کار کنم...داخل گوگل فارسی چیز زیادی پیدا نمیشه.
ممنون میشم شما راهنمایی کنید

[milad_d993]

مثال زیر از تاپیک دنیای $_SERVER (http://barnamenevis.org/showthread.php?282084-%D8%AF%D9%86%DB%8C%D8%A7%DB%8C-_SERVER) هست...



برای مثال من در کد زیر صفحه ای که کاربر از اونجا اومده رو به خودش لینک می دم :


echo '<a href="'.$_SERVER['HTTP_REFERER'].'">برگشت</a>';

[mojooriass]

به صوزت کلی چون شما فقط دارید یه پیغام را با این url به کاربر نشون میدید مشکل خاصی در امنیت پیش نمیاد در واقع کاربر پیام ثبت نام با موفقییت انجام شد میبینه ولی هچ اکانتی ایجاد نشده و در کل برای بررسی های مهم توصیه میشه از post (کمی کمک از Ajax) استفاده کنید بررسی از طریف url راه مناسبی نیست

[Unique]

حالا مشکل اینجاس وقتی کاربر عضو هم نشه اگر داخل url به صورت دستی succesfully وارد کنه پیغام ثبت نام با موفقیت انجام شد رو نمایش میده ...برای اینکه جلوی این کار رو بگیرم باید چی کار کنم؟


چرا باید جلوش را بگیرین !؟ چون مشکل امنیتی نداره لازم نیست درگیر ماجراجویی کاربران بشین.


بعضی از دوستان گفتن از referer استفاده کنم.ولی متاسفانه نمیتونم باهاش کار کنم...داخل گوگل فارسی چیز زیادی پیدا نمیشه.
referer قابل اتکا نیست و ممکنه ضررش از نفعش بیشتر باشه تازه کاربر ماجراجو اون را هم میتونه دور بزنه.

اگه خیلی دوست دارین کاربر نتونه دوز بزنه میتونی وقتی نام کاربری ایجاد شد و مثلا id کاربر مشخص شد اون را بگذرای توی session و توی صقحه بررسی اینکه ساخته شده یا نه بیای session را چک کنی که ایجاد شده یا نه. اینطور حتی میتونی کاربر را اتوماتیک لاگین کنی. البته خیلی راهکار هست اما آخرش اینکه اصلا مهم نیست کسی مستقیم این پیام را با دستکاری url ببینه.

موفق باشی