nicht angemeldet
Hallo,
ich habe mich vor einiger Zeit überzeugen lassen, künftig doch JavaScript / AJAX einzusetzen (bisher lehnte ich sowas strikt ab, aber die Vorteile scheinen klar zu überwiegen).
Nur stellt sich mir die Frage: Wenn ich beispielsweise auf einer Webseite, zum Beispiel einem x-beliebigen Portal bin, und mich dort im Posteingang eines internen Nachrichtensystems befinde... dann würde ich ein PHP-Skript aufrufen, das mir die Nachrichten, Betreffs, etc. aus der Datenbank ausliest und für JavaScript aufbereitet ausgibt. In JavaScript kann ich dann damit anstellen, was immer ich will... tabellarische Ausgabe mit Sortierung und Blätterfunktion zum Beispiel.
Aber: Jetzt guckt sich jemand den JS-Quellcode an und sieht, wie das PHP-Skript aufgerufen wurde. Was hindert ihn nun, die Aufruf-Parameter abzuändern, um an andere Daten zu gelangen, die nicht für ihn bestimmt sind?
Wie schützt man sich vor so etwas? Stell ich mir problematisch vor, da der JS-Quellcode ja nunmal unweigerlich "offen" liegt. Man muss sicher im serverseitigen Skript irgendeine Überprüfung einbauen - aber WIE?
Beste Grüße
Sven