【发布时间】:2012-05-01 12:35:50
【问题描述】:
假设我有一个用户可以互相离开 cmets 的站点。
我们有用户 A、用户 B 和用户 C。 另外,支持用户B已经屏蔽了用户C。
用户A给用户B留言,代码如下:
$query = "insert into comments (author_id, profile_id, comment, date_posted) values(?, ?, ?, now())";
这就是完成这项工作的查询。 现在用户 C 去用户 B 的页面发表评论,但是用户 B 已经阻止他离开 cmets。
用户 C 不能只为另一个用户发表评论,然后制作请求,以便他将 profile_id 更改为阻止他的用户吗?
如何防止这种情况发生?
【问题讨论】:
-
您必须检查用户是否在黑名单中在执行插入之前。永远不要相信任何数据来自外部
-
你是如何存储块的?您的代码必须检查该机制。
标签: php sql restriction