[MySQL][PHP] Formularz zabezpieczenia Opcje

[mrk9109]

Witam otóż że dalej rozwijam swoją wiedzę i każdy mnie na tym forum zna mam do was nowe pytanie mam prosty formularz POST który przesyła np: skille do bazy danych i jak pewny użytkownik daje radę podmieniać te wartości pobrane z bazy i wpisywać swoje i wysyłać je do skryptu jak to zabezpieczyć ? Przykład skryptu

[PHP] pobierz, plaintext 
if (isset($_POST['kup']))
            {
				$login = $_SESSION['login'];
				$nazwa = $_POST['nazwa'];
				$wsp = $_POST['wspolczynik'];
				$cena = $_POST['cena'];
				$cenaP = $_POST['cenaP'];
				$wartosc = ($cena/2);
 
				$zapytanieSpr="SELECT nazwa FROM uzytkownik_trenerzy WHERE  login = '". $_SESSION['login']."';"; 
                $wynikSpr = mysqli_query($polaczenie,$zapytanieSpr);
                $sprawdz_tunera = mysqli_num_rows($wynikSpr);
 
				if($sprawdz_tunera == 0)
				{
					$wspolczynik  = $wsp;
				}
				else
				{
					$zapytanieTuner = $polaczenie->query("SELECT profit FROM uzytkownik_trenerzy WHERE login = '". $_SESSION['login']."';");	
	               	  while($db = $zapytanieTuner -> fetch_assoc() ) {
			               $profit=$db['profit'];				
		      	        } 
 
					$wspolczynik = ($wsp + $profit);
				}
 
				 $zapytanie = $polaczenie->query("SELECT saldo, saldoP FROM uzytkownik WHERE login = '". $_SESSION['login']."';");
 
	          	 while($db = $zapytanie -> fetch_assoc() ) {
 
			        $saldo=$db['saldo'];
                    $saldoP=$db['saldoP'];					
		      	  }
 
				if($saldo >= $cena)
				{
				    $zapytanie1 = "UPDATE uzytkownik SET saldo= saldo-$cena WHERE  login = '". $_SESSION['login']."';";														
                    $start1 = mysqli_query($polaczenie,$zapytanie1);
 
					$zapytanie = $polaczenie->query("INSERT INTO `uzytkownik_rzecz` (`login`, `nazwa`, `wspolczynik`, `zywotnosc`, `wartosc`, `aktywny`)
                     VALUES ('".$login."', 
					    '".$nazwa."',
						'".$wspolczynik."',
						 '100',
			            '".$wartosc."',
						'0'
						);");
 
					  echo '<script language="javascript">';
                      echo 'alert("'.$nazwa.' został zakupiony")';
                      echo '</script>';						   
 
			          header('refresh: 1; url=sklep-rzeczi');	
				}
				else
				{
				  echo '<script language="javascript">';
                  echo 'alert("Brak wymaganych środków")';
                  echo '</script>';
				}
			}
[PHP] pobierz, plaintext 

podobnie jak większość formularzy

czyli on zmieni sobie cene i skrypt pobierze inna cene jak się w tym uporać

Ten post edytował mrk9109 5.06.2019, 19:56:53

[Pyton_000]

Nigdy nie ufaj temu co wpisze użytkownik w formularzu. Zawsze traktuj Input jak potencjalne zło