有漏洞无作为才可怕、可耻!
2015-12-13 22:07
246 查看
安全问题:
是否有权限进行CURD,因为参数在地址栏里,是可以修改的,(或参数在html页面里,可以用firebug修改源码),所以进行CURD之前要先查询该操作人是否拥有这条记录,比如:根据门店ID和传递的参数查询这条记录是否属于这个操作人,如果不属于就提示(非法操作,已被记录!,以达到警告的目的)
例如:
是否有权限进行CURD,因为参数在地址栏里,是可以修改的,(或参数在html页面里,可以用firebug修改源码),所以进行CURD之前要先查询该操作人是否拥有这条记录,比如:根据门店ID和传递的参数查询这条记录是否属于这个操作人,如果不属于就提示(非法操作,已被记录!,以达到警告的目的)
例如:
/* * 校验是否有权限进行CURD */ public function check_rbac($theme_id){ $model=M(); $adm_session = es_session::get(md5(conf("BI_AUTH_KEY")), 1); $location_id=$adm_session['supplier_locations']; $map=array('id'=>$theme_id,'location_id'=>$location_id); $result=$model->where($map)->getField('id'); if(empty($result)){ $this->error('非法操作,已被记录!'); } }
相关文章推荐
- 爬虫(heritrix框架)
- 【SpringMVC架构】SpringMVC介绍(一)
- job_queue_processes参数讲解
- uva_10929
- animated-rotate的用法
- 高德地图返回地址详细信息
- 深入分析JavaWeb Item17 -- JavaBean组件
- 学习绝对布局autolayout,重写界面
- 转,handler,message,looper
- nginx pool初探
- Objective-C内存管理第七弹:ARC中@property的使用
- online_judge_1087
- sed
- leetcode 004 Median of Two Sorted Arrays(java)
- OLAP、OLTP的介绍和比较
- ubuntu12.04搭建guacamole
- 大小端(big/little endian)
- 【Explain Plan】查看SQL的执行计划
- JSP入门实战
- golang讲解(go语言)标准库分析之strings