nicht angemeldet
Auch das wäre nur security by obscurity.
Finde ich nicht.
Doch.
Nö. ;)
Wenn du _nur_ das Holen dieser HTML-Elemente per Passwort sicherst, den Lösch-Request aber nicht - dann basiert deine gesamte Sicherheit darauf, dass ich die Parameter des Lösch-Requests nicht kenne.
Die Überlegung hat was. Dann geben wir eben in der Serverantwort ein Hidden-Field mit einer Session-ID mit, die bei der serverseitigen Prüfung des Passwortes im Erfolgsfall angelegt wurde. Die wird dann im neuern Request mit angegeben, und schon lässt sich prüfen, ob der User sich zuvor via Adminpasswort angemeldet hat.
Das _ist_ "security by obscurity".
Immer noch?
Das müssen wir jetzt nur noch dem Chris klargemacht bekommen :-)
Ich hoffe, dass wir da bei ihm auf offene Ohren stoßen :)
Siechfred
Ein Selbständiger ist jemand, der bereit ist, 16 Stunden am Tag zu arbeiten, nur um nicht 8 Stunden für einen Anderen arbeiten zu müssen.