好的，这可能很明显，但还没有点击。我正在创建一个论坛/博客风格的应用程序。
我相当安全地从数据库中获取帖子，但评论开始变得有点困难。 （我可能只是偏执，对吧？）。
如何在不暴露父消息 ID 的情况下添加评论？ （例如在隐藏的表单字段或查询字符串中，或其他东西）。
我想我有点偏执，有人可能会使用 firebug 或其他东西进入代码，并在提交之前将隐藏的表单字段值更改为其他值。我想我必须确保用户有权评论该特定帖子/类别？
注意事项： 用户已经登录。 不是公开帖子
【问题讨论】：
我建议您像这样设置数据库：
Comments
---------
id
encodedID
authorID
parentID
message
然后，表单字段有两个隐藏值，一个是encodedID，第二个是您创建的哈希值。我建议哈希为：
<?php
$hash = sha1(md5($encodedID . $userID . $_SERVER['REMOTE_ADDR'] . "abc1234"));
?>
然后，当用户提交表单时，验证哈希对于特定的encodedID 和用户是否有效。这是一个简短的代码编写：
<?php
if(isset($_POST['submit']))
{
//Get the variables and all and sanitize the input of 'message'
if(sha1(md5($_POST['value1']. $userID . $_SERVER['REMOTE_ADDR'] . "abc1234")) == $_POST['value2'])
{
//User is valid.
}
else
{
//Invalid user.
//Document this.
}
}
$value1 = $encodedID; //Grab this from your database
$value2 = sha1(md5($value1 . $userID . $_SERVER['REMOTE_ADDR'] . "abc1234"));
?>
<form method="post" action="comment.php">
<input type="text" name="message" />
<input type="hidden" name="value1" value="<?php echo $value1; ?>" />
<input type="hidden" name="value2" value="<?php echo $value2; ?>" />
<input type="submit" name="submit" value="Comment" />
</form>
编辑：只是一个小提示，但我建议您将 value1 和 value2 更改为抽象的东西，不要将其称为 encodedID 或类似的名称，以免混淆任何用户会尝试破坏它。
是的，md5 和 sha1 并不完全安全，但对于这种情况，它会起作用，因为您希望能够快速有效地处理 cmets。
【讨论】：
sha1(md5()) 闻起来像货物崇拜编程。您显然不信任任何哈希值。是什么让您认为组合两个您不信任的哈希会创建一个更值得信赖的哈希？
这可能有点矫枉过正，但如果你真的想隐藏当前消息的 post_id，那么你应该考虑使用 session.所以不要在你的表单上使用这样的东西：
<form action="/postcomment.php" method="post" >
<input name="post_id" type="hidden" value="123" />
<textarea name="message"></textarea>
</form>
把它简化成这样：
<?php $_SESSION['post_id'] = '123'; ?>
<form action="/postcomment.php" method="post" >
<textarea name="message"></textarea>
</form>
当然，这是“令人讨厌”的编码，但至少你明白了。
哦，别忘了验证 postcomment.php 上的所有内容。还要转义所有字符串输入值并确保所有数字输入确实是数字（将它们乘以一？）。
[编辑：由于公众的不断要求，请允许我修改上述内容：]
代替：
<?php $_SESSION['post_id'] = '123'; ?>
生成表单id：
<?php $_SESSION['form_id'] = $_SESSION['user_id'].'_'.md5(time()); ?>
然后生成唯一的post_id：
<?php $_SESSION[$_SESSION['form_id'].'_post_id'] = '123'; ?>
提交后获取post_id：
<?php $post_id = $_SESSION[$_SESSION['form_id'].'_post_id']; ?>
【讨论】：
您可以为表单分配一个“id”作为隐藏字段并创建一个数据库表来跟踪表单 id 及其相关的帖子 id，这样当表单被提交时，您可以在数据库中检查帖子 id 而无需发送根据随帖子返回的表单 ID 将其发送给客户端
【讨论】：
您在这里问了一个错误的问题：与其担心用户获得一些在您的应用程序之外没有任何意义的内部 ID，您的主要关注点应该是防止他们做任何不愉快的事情它。
想象一下，我刚刚开始发送 POST 请求，为 1 到 10,000 之间的每个 ID 添加评论。我肯定迟早会打出真正的帖子。
关于编写安全 Web 应用程序的规则 #1：不要信任用户。
换句话说，是的，当您从发件人那里收到结果时，您应该检查以确保他们有权发表评论。
【讨论】：