php - 由当前登录的用户安全更新或插入行 'owned'

Question

我正在尝试弄清楚如何构造这个数据库:

我有表 Users、表 Galleries 和表 Images。

一旦用户登录，我将他的 ID 存储为 $_SESSION[user_id]

---

表 Galleries 有列 user_id 来存储它的所有者。

表 Images 有 gallery_id 来存储它们属于哪个画廊。

在客户端，当我想将新图像上传到 Images 时，我使用当前图库id 设置图像的 gallery_id。

问题是有人可以通过更改 gallery_id 篡改数据并将图像上传到其他人的画廊。

我是否也应该在图像表中添加一个 user_id 并检查 $_SESSION[user_id] 或者为每个图像、图库和用户生成一个完全唯一的 ID并在客户端使用它，或者我可以加入所有 3 个表，然后检查 user_id？

最佳做法是什么？谢谢

Answer 1

如果 images 表中的 gallery_id 列不是 NULL，那么您可以这样做

INSERT INTO images (gallery_id,image_file) 
    SELECT id,'$image_file'
    FROM Galleries 
    WHERE id = $gallery_id AND user_id = {$_SESSION[user_id]}

我很确定(未经测试)如果 $gallery_id 和 $_SESSION['user_id'] 不匹配任何行，SELECT 将返回 gallery_id 作为 NULL，因此 INSERT 将失败。