Laravel 如何在保存时验证模型 ID 的完整性

Question

这可能有点偏执，但我想知道其他人如何确保在从前端编辑模型的 ID 时不会被欺骗。例如，查看以下基本形式：

<form id="form1" action="/profile/patch">
  @csrf
  <input type="hidden" name="id" value="{{ $profile.id }}">
  <input type="text" name="name" value="{{ $profile.name }}" placeholder="Your Name">
  <button>Submit</button>
</form>

有权管理多条记录的精明但恶意的人可以简单地进入他们的 Web 开发人员控制台并更改 ID 隐藏输入的值。这个例子有点基本，但我认为它可以用于更邪恶的方式。

我曾考虑通过在操作 URL 中包含 ID 来添加第二层验证：

<form id="form1" action="/profile/{{ $profile.id }}/patch">
  ...

...但这很容易被欺骗。

然后是javascript。即使是这样的东西也可以用控制台命令覆盖：

<script>
document.forms.form1.onsubmit = function() {
  // do some validation here
  document.forms.form1.elements['id'].value = {{ $profile.id }}; // dynamically insert the id
  return true;
}
</script>

似乎会话变量可能是唯一的方法，但这可能会很快变得混乱。我只是要忍受这个，还是我错过了什么？我是不是太偏执了？

Answer 1

您可以加密 html 表单中的 ID 以防止用户修改它，甚至更好：根本不要在 html 表单中打印 ID（或其他敏感数据）并使用表单请求和验证（在 Laravel ) 以应用不需要与表单一起提交的 ID 和其他数据。 See documentation for Form Request here

例子：

public function rules()
{
    return [
        'user_id' => 'required|bail',
        'name' => 'required|string|bail',
    ];
}

protected function prepareForValidation()
{
    // This will add the user_id to the request after the form is submitted
    $this->merge([
        'user_id' => (auth()->check()) ? auth()->id() : null,
    ]);
}

如果您需要将 ID 与表单一起提交，您可以使用prepareForValidation() 来解密 ID：

protected function prepareForValidation()
{
    // This will decrypt the user id
    $this->merge([
        'user_id' => myDecryptFunction($this->input('hashed_user_id')),
    ]);
}

要在您的控制器中收集数据，请像这样注入您的表单请求：

public function store(MyFormRequest $request)
{
    $formDataAsArray = $request->validated();
}