URLs verschlüsseln

[Sven Rautenberg]

Moin!

Dann verhindere das serverseitig.

Klingt einleuchtend.
Wie ist das möglich?

Die Frage, die du zu beantworten hast:

Darf User X Zugriff auf Datensatz Y haben? Oder genauer: Darf User X mit Datensatz Y Aktion Z ausführen?

Unter Datensatz ist u.U. das gesamte Konglomerat zu verstehen, nicht nur ein Eintrag in einer DB-Tabelle.

Unter Aktion ist mindestens das typische "CRUD" zu verstehen (create, retrieve, update, delete), oder auch umfangreichere Dinge - hängt von der Applikation ab.

Da du ja derzeit irgendwie hinkriegst, dass ein User X nicht alle Links zu allen Datensätzen angezeigt bekommt, gibt es ja offensichtlich Regeln, anhand derer du prüfen kannst, ob eine vom User veranlaßte Aktion einen für ihn erlaubten Datensatz betrifft, und auch, ob die Aktion überhaupt erlaubt ist.

Eine Verschlüsselung der Aktionsparameter bewirkt nur, dass dein Debuggingaufwand steigt, aber nicht automatisch, dass der User nicht trotzdem Dinge tut, die nicht zulässig sind. Das mußt du also zwingend serverseitig prüfen, denn alles, was vom User zurückkommt, ist potentiell böse - auch wenn es verschlüsselt ist.

- Sven Rautenberg