php - 使用 AJAX 将 php 变量添加到 MySQL，但在 DOM 中隐藏值

Question

我正在构建一个简单的待办事项应用程序并与 Facebook 连接。

我希望人们能够创建一个新的待办事项列表并将其注册到数据库(我为此使用 Ajax)。我将在下面放置代码，然后放置我的问题。

<a id="submit-list" href="#">
    <div class="list-adder">
        <input class="hidden" name="unique_url" id="uniqueUrl"   type="text" value="<?php echo generateRandomString(); ?>" />
        <input class="hidden" name="user_id" id="userId" type="text" value="<?php echo $_SESSION['FBID']; ?>" />
        <input class="hidden" name="user_name" id="userName" type="text" value="<?php echo $_SESSION['FULLNAME']; ?>" />
        <input type="text" placeholder="List Title" name="add_list" class="add_list" id="addList" />
        <span id="submit_list">Add List</span> <i class="icon-plus"></i>
    </div>
</a> 

因此，我在这里获取列表的唯一 URL、标题以及 facebook 用户 ID 和全名

我将详细信息发送到 Ajax，然后从那里发送到数据库。一切都很完美。但是，可能存在安全问题。如果我检查此表单，我会在源代码中获取用户 ID 和名称，如以下屏幕截图所示: http://image.prntscr.com/image/59dab8aca0694f89989ef1e0f59b9fc4.png 如果我编辑用户 ID 或名称，则编辑后的数据将发送到数据库。

有什么方法可以确保将用户的真实数据而不是编辑后的数据发送到数据库吗？

谢谢。

Answer 1

将某些内容放入表单的唯一原因是因为您在后续请求中需要该数据，而您无法从其他地方获取这些数据。

但是您已经在用户 session 中拥有此数据 - 没有必要将其打印到表单中以使其可用于下一个请求 - 它已经可用于下一个请求。

从表单中删除 user_id 和 user_name 字段，并在构建查询时从 session 中读取这些值，而不是从请求中读取这些值