JavaScript 和 PHP 安全

Question

我想知道“注入(inject)”，包括javascript注入(inject)(我不明白它的规则)。

如果我有一个 JavaScript 函数，可以发出 AJAX 请求来找出用户的权限级别，然后使用 if 语句检查该级别以分配权限，这是否容易受到攻击？

Javascript

function checkPermission(){
  $.post('user.php', userId, function(data){
     return data.permission;
  });
}

var = permission = checkPermission();

     if (permission === 2){
        // User has admin powers
     }

有人可以在代码中读取此内容并简单地将变量“permission”更改为 2 从而获得管理员访问权限吗？

谢谢。

Answer 1

是的，它很容易受到攻击，因为由于 javascript 在客户端运行，用户可以通过浏览器更改 userID 值。

您不应该依赖客户端数据来完成这样的事情。您至少需要在用户登录时在服务器端进行身份验证，然后创建一个 session 来保存他们的用户 ID 等。这样您就可以依赖服务器端 session 数据，而用户将无法操纵这些数据。

编辑:

此外，在您的示例中，用户也可以更改权限变量的值。同样，任何验证检查都不应该留给客户端代码。