是否有必要保护 Laravel 中的 destroy 方法免受未创建帖子的经过身份验证的用户的影响

Question

我的PostController 中有以下中间件。

public function __construct()
    {
        $this->middleware('auth')->except(['index', 'show']);
    }

我了解任何经过身份验证的用户仍然可以通过访问 localhost/posts/{post}/edit 来编辑帖子，因此我已通过以下代码对其进行保护。

 public function edit(Post $post)
    {
        if(auth()->user()->id === $post->user_id){
            $categories = Category::all();
            return view('edit-post', compact(['post', 'categories']));
        } else{
            abort(403, 'Unauthorized.');
        }

    }

现在，我想知道是否有必要保护 destroy 方法？在这种情况下，经过身份验证的用户是否可以删除他们没有创建的帖子？如果他们可以，我能知道他们怎么做吗？

我的销毁方法

   public function destroy(Post $post)
    {
        Storage::disk('public')->delete($post->imagePath);
        $post->delete();
        return redirect(route('posts.index'))->with('flash', 'Post Deleted Successfully');
    }

Answer 1

保护所有需要身份验证的方法的一种简单方法是使用关系。

您通过使用模型注入从 DB 预加载 $post 在 URL 中发送一个帖子 ID。避免这种情况并自己使用帖子的ID

public function destroy($postId)
    {
        $post = auth()->user()->posts()->findOrFail($postId);
        Storage::disk('public')->delete($post->imagePath);
        $post->delete();
        return redirect(route('posts.index'))->with('flash', 'Post Deleted Successfully');
    }

如果帖子 ID 不是用户拥有的帖子之一，该路由将返回 404。

编辑也一样

public function edit($postId)
{
    $post = auth()->user()->posts()->findOrFail($postId);
    $categories = Category::all();
    return view('edit-post', compact(['post', 'categories']));
}

至于响应代码 404 而不是 403 的更改，这是故意的，因为用户已通过身份验证，并且您不希望任何用户知道是否存在另一个具有非他的随机 ID 的帖子，因此 404。就像他把一个不存在的帖子 ID 删除或编辑一样。

Answer 2

首先，您应该了解Laravel policy，这将使您的代码更加清晰。

对于销毁方法，

我给你一个例子，你可以试试看

post_table

id	user_id	title
1	40	Post1
2	50	Post2

如果用户id: 40尝试删除帖子女巫id是id: 1没有问题， 但是假设用户知道网络应用程序并且只是更改 URL localhost/posts/2/delete 中的 id，他/她将删除任何没有政策的帖子。