Hallo,
ich dachte eigentlich ich hätte das mit register_globals verstanden, habe mich aber getäuscht.
das Problem: Ich habe register_globals auf "off" und habe ein Formular mit GET-Mothode.
In diesem Formular ist eine variable die danach mit switch ausgewertet wird - Nicht jeder User darf alles (z.B. änderungen).
Wenn ich das Formular absende werden die Variablen ja in die Adressleiste geschrieben.
Wieso kann ich jetzt - vorausgesetzt ich weiss z.B. dass es eine Variable "job" mit dem Wert "speichern" gibt diesen mit & an die URL anhängen und so in den Bereich gelangen? Ich dachte eigentlich, das genau dieses Problem dann nicht mehr existieren würde.

Oder muss ich noch was anderes beachten (ausser dass post eh besser ist als get)?

Vielen Dank für eure Antworten im Voraus.

Gruss yabbax

Mister Ad

Guradia

?foo=bar&job=speichern

if (isset($_REQUEST['job']) and $_REQEUST['job'] == 'speichern')

Mehr habe ich an deinem Problem nicht verstanden ...

Alle Parameter per GET lassen sich leicht manipulieren, deshalb solltest du bei Formularen besser POST nehmen. Aber auch das bietet keine 100% sichere Lösung.

Und nein, das hat nichts mit register_globals zu tun.

Gruß
phpfan

@guardia
noch mal:
so sieht das formular verkürzt aus.

Ich möchte dass nur bestimmte Benutzer den submit-Button "speichern" angezeigt bekommen. Das ist ja auch kein Problem.

Nache dem Submit können aber Benutzer (wenn sie wissen dass der subjob auch den Wert "speichern" haben kann ) in der URL eben diesen anhängen und so in die speichern-Auswertung gelangen.

Das möchte ich aber nicht und ich dachte dass dieses mit register_globals gelöst wäre.

Jetzt besser ausgedrückt?

Gruss yabbax

@phpfan

und wie kann man das unterbinden? ich brauche get weil ich teilweise mit header(Location... weiterleite und manchmal mit javaScript. Da geht doch nur get meines Wissen nach.

alternative wären ja noch Session-Variablen, aber da muiss man ja verdammt auspassen dass diese zur rechten Zeit wieder resettet werden..

Gruss yabbax

Guradia

Ich frage mich, wie du auf die idee kommst, PHPs Parameterverarbeitung hätte etwas damit zu tun, ob Du im Script prüft, ob ein Benutzer den Parameter 'job' mit dem Wert 'speichern' füllen darf ...

Wenn du diesen Job ausführen lässt, egal, ob der User das darf ode rnicht, dann ist das dein ganz persönlichen problem und keine Einstellung in PHP wird da was dran ändern.

@guradia
für konstrukitve vorschläge bin ich immer zu haben.
mach mir doch mal den vorschlag wie das besser zu lösen ist.

Das mit dem ausführen ist schon klar, er soll aber den wert nicht ändern dürfen in der url.

gruss yabbax

uro3

In die Adresszeile des Bowser kann jeder schreiben was er will. Das kannst du nicht verhindern. Wäre ja auch schlimm. Ist mein Browser und mein PC und, du willst vorschreiben was ich da reinschreiben darf?

Guradia

Schon getan ... oder meinst du, ich führe nur aus spass mal auf, was du offentlich nicht tust, aber tun solltest?

Benutze Sessions, um Rechte zu verwalten. Per URL ist sowas Quatsch.

Gruß
phpfan