nicht angemeldet
Hallo,
in meinen Scripten prüfe ich per if($_POST['gesendet']=='jaDoch') ob ein Form per Post das Feld(hidden) gesendet mit dem Wert jaDoch enthält.
OK, damit akzeptierst Du ausschliesslich die von Dir im
HTML-Formular vorgeschriebene POST-Methode.
Das ist in Ordnung.
Wenn Du es Anfaengern und Fire***-Benutzern leichter
machen willst, Deinem Skript irgendwelche Werte unterzujubeln,
dann darfst Du ruhig auch GET- und Cookie-Parameter akzeptieren,
ohne die Methode zu unterscheiden.
Dafuer waere dann $_REQUEST zustaendig.
Ansonsten lass es so, wie es ist.
Oder gibt es was besseres um sicher zu gehen, daß der User mit den! Werten von da! kam wo ich es erwarte (Sicherheit).
Hidden-Variablen sind ein laecherlicher "Schutz".
Auch method="POST" ist nur ein schwacher Schutz.
Auf den Referrer kannst Du schon gar nicht gehen.
Wenn schon muesstest Du mit Sessions oder aehnlichen
Mechanismen jedem Formular einen eindeutigen
Wert mitgeben (Suchbegriff: "Challenge") und diesen
gleichzeitig auf dem Server speichern.
Das verarbeitende Skript schaut dann nach, ob
der Wert in Ordnung ist. Damit kannst Du gleichzeitig
verhindern, dass ein Benutzer das gleiche Formular
mehrmals abschickt.
Gruesse,
Thomas
Bitte keine Mails mit Fachfragen - dafuer gibt es das Forum!
Ich mag es, wenn URLs verlinkt sind (</faq/#Q-19>).
Oft gestellte PHP-Fragen beantwortet die dclp-FAQ bestens: http://www.dclp-faq.de/