如何阻止用户相互编辑信息

Question

答案可能很简单，但我一直在想办法，但我不能。

我为每个“当前”登录并拥有注册帐户的用户创建了一个个人资料页面，但问题是任何人都可以使用链接访问彼此的个人资料并对其进行编辑。例如：

https://localhost/profile.php?username=Msprite 可以轻松访问 https://localhost/profile.php?username=Msprite2 通过调整链接，输入他们的用户名。

当访问个人资料时，用户点击下面的代码被重定向到他们的个人资料，并使用 $_SESSION 来存储他们的用户名。

`echo '<td><a href="profile.php?username=' . $_SESSION['loggedin'] . '">' . '' . ' ' . $_SESSION['loggedin'] . ' </a></td>'; 

我是否试图以错误的方式进行操作？是否有另一种方法可以分别显示每个用户的设置。如何阻止用户访问其他用户的信息。

session_start(); if (!isset($_SESSION['username'])) {
header('Location: admin/index.php');
exit;

}

if 语句检查用户是否登录，有没有办法检查用户是否是试图访问其帐户信息的实际合法用户？

Answer 1

由于您在链接中显示名称 Msprite 并且链接代码使用 $_SESSION['loggedin'] 我假设这是登录用户名。

您不需要链接中的用户名，只需在profile.php上使用即可：

session_start();

if(isset($_SESSION['loggedin'])) {
    // SELECT info1, info2 FROM user_table WHERE username =  $_SESSION['loggedin']
    // Do profile stuff
} else {
    header('Location: admin/index.php');
    exit;
}

Answer 2

您应该使用 POST 方法发送该信息并识别用户是否是试图访问以修改其个人资料/信息的用户。

如果设置了会话，那么在您执行的验证中，它是正确的，但您必须放置第二个条件，验证会话具有访问权限的用户的值。

我不知道您在哪里获得用户信息，但假设您允许特定用户，它会是这样的：

<?
if(isset($_SESSION['username']) && $_SESSION['username'] == 'Msprite'){
   echo 'access granted';
}else{
   echo 'U dont have perms';
}
?>

如果您从数据库中获取数据，请执行查询，然后在条件下比较会话“用户名”的值属于在同一数据库中注册的用户。