[PHP] Zabezpieczenie przed WSTECZ i ODŚWIEŻ, w formularzu... Opcje

[Kshyhoo]

Witam po raz kolejny. Chciałbym uzyskać pomoc w kwestii zabezpieczenia danych w formularzu przed przeładowaniem i przyciskiem wstecz (wiem, że nie da się zablokować całkowicie). Znalazłem na to 3 sposoby - cookie, sesje i nagłówek. Niestety, nie umiem tego połączyć z moim wielostopniowym formularzem... Pomoże ktoś mądry?

[PHP] pobierz, plaintext 
<?php
if (isset($_POST['krok']) && $_POST['krok'] == "1") {
 
// tu kontrola wypełnienia w js
 
echo "<center><form name='generator' action='".basename($_SERVER['PHP_SELF'])."' method='POST' onSubmit='return testuja(this);'>";
 
echo "<input type='hidden' name='krok' value='2'>\n";
echo "<input type='submit' name='dalej' value='Idź dalej'></form>";
 
} elseif (isset($_POST['krok']) && $_POST['krok'] == "2") {
 
echo "<center><form name='generator' action='".basename($_SERVER['PHP_SELF'])."' method='POST' onSubmit='return checkRadios(this);'>";
 
// tu kontrola wypełnienia w js
 
echo "<input type='hidden' name='krok' value='3'>";
echo "<input type='submit' name='dalej' value='Idź dalej'></form>";
 
} elseif (isset($_POST['krok']) && $_POST['krok'] == "3") {
 
echo "<center><form name='generator' action='".basename($_SERVER['PHP_SELF'])."' method='POST' onSubmit='return testujb(this);'>";
 
// tu kontrola wypełnienia w js
 
echo "<input type='hidden' name='krok' value='4'>\n";   
echo "<input type='submit' name='dalej' value='Idź dalej'></form>";
 
} else {
 
echo "<hr class='hr' /><form name='generator' action='".basename($_SERVER['PHP_SELF'])."' method='POST'>";
 
echo "<input type='hidden' name='krok' value='1'>\n";  
echo "<input type='submit' name='dalej' value='Idź dalej'></form>";
 
}
?>
[PHP] pobierz, plaintext 

Ten post edytował Kshyhoo 4.07.2009, 21:52:22

[erix]

zgłosiłem sama znajomość sesji nie wystarczy

Owszem, wystarczy. Gdybyś poznał sesje, byś także poczytał o ataku zwanym CSRF i o metodach przed zabezpieczeniem przed nim. Jest tam coś takiego zwanego tokenem, jeśli będziesz dla każdego żądania generował unikalny, to będziesz miał zabezpieczenie także przed wtecz/dalej.

@erix, Ty mnie chyba naprawdę [cenzura] nie lubisz?

Nie lubię lenistwa.

[Kshyhoo]

Nie lubię lenistwa.

Kiedyś mieliśmy okazję na ten temat rozmawiać. Odpuść sobie te pieprzenie, bo lenistwa nie może mi nikt zarzucić.

Co co "coś takiego zwanego tokenem, jeśli będziesz dla każdego żądania generował unikalny", to robiłem:

[PHP] pobierz, plaintext 
<?php
<input type='hidden' name='id' value='".uniqid()."'>
?>
[PHP] pobierz, plaintext 

i:

[PHP] pobierz, plaintext 
<?php
if (isset($dalej) and $_POST["id"]==$_SESSION["id"]) {
echo "";
}
if (isset($dalej) and $_POST["id"]<>$_SESSION["id"]) {
$_SESSION["id"] = $_POST["id"];
echo $dalej;
}
?>
[PHP] pobierz, plaintext 

i ODŚWIEŻ owszem, na ale WSTECZ nie działało, bo przecież i tak był ten sam id...

Sądząc po linku, który wkleiłem wcześniej, to jest spory problem i dla profesjonalistów.