php - 是否可以操纵 Ajax 调用来指示服务器删除它不希望删除的数据？

Question

我正在使用 jQuery 对话框询问用户是否真的要删除记录(用户已登录)。

如果是，我获取记录的 ID 并运行 jQuery.ajax。

我的问题是:

1. 用户可以在不与屏幕交互的情况下执行 jquery 吗？
2. 用户能否通过一些“黑客软件”传递任何 record_id 从而删除他不应该删除的记录？

这是我的代码:

  function initDeleteRecord() {
    var options = {
            title: "Delete record",
            modal: true,
            buttons: {
              "Ok": function() {
                var record_id = jQuery('#recordID').val(); // <-- Can this be manipulated?
                deleteRecord(record_id);     
              },
              "Cancel": function() {
                jQuery(this).dialog("close");   
              }               
            }
        };

      jQuery('#dialog').dialog(options);        
      jQuery('#dialog').dialog("open");  
  }

  function deleteStore(store_id) {
    jQuery.ajax({
      url: siteURL +"/jquery.php",
      data: {instance: 'deleteRecord', record_id : record_id},
      success: (function(data) {
        jQuery('#dialog').dialog("close");
        window.location(siteURL);
      }),
      dataType: 'json'
    });  
  }

Answer 1

是的，是的。用户可以执行任何 jQuery 代码，例如使用 Opera Dragonfly 或 Firefox 的 Firebug。

并且用户始终可以使用他自己的“浏览器”实现。永远不要相信传给你的数据。始终(再次)执行检查服务器端。如果用户不小心输入了错误的数据，客户端检查只会增加舒适度。