php - 网络应用 : Storing ID in hidden fields safe?

Question

我就是这么想的，不知道是不是我 react 慢了。

通常，我将正在编辑的项目的 ID 存储在隐藏字段中。然后在后端(顺便说一句，我正在使用 PHP/Zend Framework)，我用它来确定要编辑的项目。但后来我想，在更安全的事情上，例如。编辑个人资料，用户可以以某种方式编辑隐藏字段吗？然后他可以编辑其他人的个人资料。我知道对于编辑配置文件，我可以从 session 变量中获取 ID，但是如果我得到的东西需要我将 ID 存储在某处怎么办？

我得到了 ACL (Zend_Acl) 我这样做了。基本上从请求参数中获取 id

$id = $req->getParam('id');

然后检查是否允许登录用户编辑该项目。但问题是我想知道 url 是否类似于 /users/edit/1 其中 1 是 id。但是不知何故，隐藏字段改为2，请求参数是什么？

你会如何处理这个问题？

Answer 1

您必须在客户端存储某种 ID，否则您怎么知道要编辑哪个项目？
这不会使您免于对服务器进行强制检查，以确保当前用户有权编辑/查看已编辑的项目。
除此之外，您为什么要关心他是如何编辑项目的(无论是通过合法使用网络工具，还是通过编辑隐藏/任何字段)。