首页 / PHP / 向高手求教：phppost提交问题

向高手求教：phppost提交问题

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了向高手求教：phppost提交问题，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含9250字，纯文字阅读大概需要14分钟。

内容图文

php post提交小虾做了一个程序：通过Ajax 技术调用后台PHP的执行过程向Mysql写数据库，功能是实现了。
后来发现有用户通过 url直接拼凑参数手工通过网址输入方式调用php的执行过程。
问题1：有什么好的办法可以禁止直接手工通过网址向后台提交呢？
我查了一些帮助，大意是提交前：通过时间t向后台提交获得相对应的加密键值k1,
在正式提交时，将t与k1都提交，后台通过t重新加密得出k2，如果k1与k2相同，则执行写入数据库过程。
问题2：这种方式，增加了获取键值k1这个过程，肯定比不获取k1多费时间。有什么办法规避呢？
问题3：获取加密键值k1这个过程又如何保证不被别人直接手工通过网址向后台调用呢？
恳请高人指点！
谢谢先！

回复讨论(解决方案)

我一般是这么干的

具体的代码

然后就没有了，就是把最后的“?>”去掉了，这样直接提交过来的页面会因为语法错误而执行不了

我一般是这么干的

具体的代码

然后就没有了，就是把最后的“?>”去掉了，这样直接提交过来的页面会因为语法错误而执行不了
-------
这个解决方法有点“偏方”的味道。。。，
真诚感谢回复！

说实话B/S架构很难避免server端接收的数据一定是由你希望的Browser端发送过来的，毕竟server端只是提供一个页面供客户端请求，接收请求后开始运行。就算是用session验证登录也可以被模拟，所以很难做到接收的数据一定是由你返回页面所产生的，至少我没想到有什么办法，呵呵。
建议在表单上添加一些hidden，通过验证hidden的值来判断（类似楼主所提的方法），但这些方法还是可以被模拟的，只能防范技术较低的人。

我不知道有防范这种调用方式的方法. 毕竟接口写出来就是让用的,只要符合规则让它调用就是了,接口内尽量写的安全些..

关于少写?>xuzuning版大讲过,这样才是更规范更合适的写法, PHP会自动把最后一行后边的换行和空格全部删掉.至于是否对楼主的问题有效就不清楚了,.

使用sesseion可以防止恶意注入数据，具体方法： http://www.ibihuo.com/show-60.html

你的后台是不需要登录的么？

to anglegz : 你从高度回复了我的疑惑，不过我的应用都是B/S的，改成 B/C的目前不可能；
to anyilaoliu : 接口写安全些是一个解决方案，用户手工网址方式提交本质就是跳过了ajax检查步骤直接送到后台；
to ahui_lcm: 是需要登录的，目前是登录后的用户(不登录是不能提交的)，在同一台机器上再开一个相同的浏览器，手工在地址栏上提交非法数据。
to y244360439: 你的链接中“然后将这个值用sesseion存储起来,$_SESSEION['hash'] = $hash；
”，如何保证写session的存储过程不被用户单独调用呢？我的理解写session过程也是带参数的post提交，这也可以通过手工在地址栏提交，是不是我理解得不对？
多谢各位，还有没有其它建议?

在前台用js做的限制和判断要在PHP中再判断一次否则遇到你说这种绕开js验证的时候就悲剧了

在前台用js做的限制和判断要在PHP中再判断一次否则遇到你说这种绕开js验证的时候就悲剧了
------------------------------------
如果在后台再判断一次，这时候就需要post更多的参数用来作为判断与限制的变量。在这个post的过程中，就又会有手工网址方式输入的方式对输入变量作假了。哎，不还是有漏洞么!?

如果手工输入的变量都是符合要求的应该不会担心吧?
-----------------------------------
手工输入的变量都是符合要求的，自然没有问题。问题是用户提交“非法”数据。

各位大拿，还有没有无漏洞的方案呢？
目前依据我的判断，用户已经可以获取到"hidden" 变量值的。

手动的话hidden当然可以拿到就在dom节点中

用户提交"非法"数据你如何判断它是非法的? 既然是非法的又能判断,判断出来后不继续执行不就可以了...

手动的话hidden当然可以拿到就在dom节点中

用户提交"非法"数据你如何判断它是非法的? 既然是非法的又能判断,判断出来后不继续执行不就可以了...
--------------------
“非法”结论是通过后来人工分析数据得出的。
按照你的说法，就是在现有js 检查判断“提交数据值”基础上，将相应的核查重新在php上再进行一次。这个方案我觉得可以尝试一下，前提条件是：我能够依据后台已经有的数据重新推导出前台用于判断的参数变量，而不是将前台参数变量直接提交到数据库中后使用。
此方法值得一试！这样就不需要在session中记录加密键值什么的了。

必须不能直接进数据库进数据库之前要检测下是否有可能引起注入攻击的代码

除非是个人测试站,没有直接入库的.

最近我正在写这么一个东西，目前没有很好的办法，参数都可以模拟，后台你如何限制呢，参数又都是合法的

这样的一般 csrf

地址栏上的参数，能用$_POST取的到？你在程序里用$_POST接收表单传过来的数据。如果他用地址栏直接输入参数，难道$_POST会接收到？

模拟是另一种需求，绝对防止是不可能的。

增加难度是可以的。与需求

我一般是这么干的

具体的代码

然后就没有了，就是把最后的“?>”去掉了，这样直接提交过来的页面会因为语法错误而执行不了
没看懂

to y244360439: session是后台随机生成的，不会受到用户的干扰，discuz也是用的这种办法，他的很多操作都有formharsh值，就是这个原理
---------------------------
我想找个类似的参考一下，
只找到了 SWFUpload 的源码，它的处理为：
1）前台调用页面的JS 中对URL参数赋值："PHPSESSID" : ""
2）在后台执行脚本中对sessionid检查并赋值：
// Code for Session Cookie workaround
if (isset($_POST["PHPSESSID"])) {
session_id($_POST["PHPSESSID"]);
} else if (isset($_GET["PHPSESSID"])) {
session_id($_GET["PHPSESSID"]);
}
真心没有找到在JS中如何实现"sesseion存储起来,$_SESSEION['hash'] = $hash”? 可否指导一下具体如何操作？不行下载discuz源码在琢磨一下。
to ahui_lcm: 看了提交代码，获取变量都是通过 $_REQUEST[‘xxx']方式的，后面改$_POST，应该是代码一大改进。我这个现学现卖的半吊子漏马甲了：）

做进一步的说明，你可以再看下，不明白可以在网站上q我， http://www.ibihuo.com/show-60.html

你可以自己?一?加密解密函?,例如:
ajax提交到??的一?url http://localhost/a.php?key=REWTR54365EY&val=??

其中key的值是使用php的加密函?加密之後的?容(例如:自定?加密函?("要提交的?果")),提交到a.php之後用解密函?得到key的值(然後和要提交的?果作比?),看看是否符合本次提交的需求

其实可以用加密键，同样post到接受页面，在接受页面解密和验证key，

使用$_SERVER["HTTP_REFERER"]判断是不是来自你的页面。伪造$_SERVER["HTTP_REFERER"]是违法的。技术上没有破解不了的东西。

做进一步的说明，你可以再看下，不明白可以在网站上q我， http://www.ibihuo.com/show-60.html
------------------------------------------
我准备试用你说的加密与解密的方法，提交加密通过Ajax的变量 data: "hash="+hash 来实现，可是客户端获取后台PHP 生成的 $hash 值我没有很好的方法（我的前台与被调用的后台是分在不同的2个文件中的）。目前找到获取后台PHP生成$hash值的方法也是单独通过ajax调用，个人觉得这种获取过程降低了提交效率，同时也可能会泄密。
可否详细说一下$_SESSEION['hash'] 前台是如何获取的呢？不胜感激！

1、只用 $_POST 接受提交，可使url参数无效
2、在 cookie 中，置入识别字（包括sessionid）。但cookie可轻易获取，不能确保安全
3、利用js提交（包括动态加入识别字）。一般工具不会执行js，情况会有些好转。但不能排除人工跟踪后进行通讯干预

1、只用 $_POST 接受提交，可使url参数无效
2、在 cookie 中，置入识别字（包括sessionid）。但cookie可轻易获取，不能确保安全
3、利用js提交（包括动态加入识别字）。一般工具不会执行js，情况会有些好转。但不能排除人工跟踪后进行通讯干预
---------------------------------------
1、只用 $_POST 接受提交，可使url参数无效
----> 前面ahui_lcm 提到过，已经修改了，对于对付手工地址非法输入确实有效。
2、在 cookie 中，置入识别字（包括sessionid）。但cookie可轻易获取，不能确保安全
----> 后面可以加进去，虽然不确保安全，也算是增加被攻破的难度。
3、利用js提交（包括动态加入识别字）。
----> 增加识别字，考虑过增加验证码的识别方法，后来觉得用户操作会变得多一步，影响用户使用感受，目前暂不考虑此方法了。
集思广益，多谢各位回复！

1、只用 $_POST 接受提交，可使url参数无效
2、在 cookie 中，置入识别字（包括sessionid）。但cookie可轻易获取，不能确保安全
3、利用js提交（包括动态加入识别字）。一般工具不会执行js，情况会有些好转。但不能排除人工跟踪后进行通讯干预

我是php新手，版主能否详细说一下2,3条是什么意思？

内容总结

以上是互联网集市为您收集整理的向高手求教：phppost提交问题全部内容，希望文章能够帮你解决向高手求教：phppost提交问题所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/195038.html

来源：【匿名】

【上一篇】数组合并【下一篇】PHP 5 数据对象 (PDO) 抽象层与 Oracle

更多 ►

【向高手求教：phppost提交问题】教程文章相关的互联网学习教程文章

php接收post过来的 json数据例子【代码】

html代码<html><head><title>json</title><script src="//cdn.bootcss.com/jquery/3.1.1/jquery.js"></script></head><body>json<input type="button" onclick="sendJson()" value="点击"></body><script>function sendJson() {var stu={name:"冷荣富",age:22,sex:"男"};$.ajax({type : "POST", //提交方式 url : "http://localhost/jsonTest.php",//路径,www根目录下 data : {"student" : stu},//数据，这...

atitit.http get post的原理以及框架实现java php

atitit.http get post的原理以及框架实现java php 1. 相关的设置 11.1. urlencode 11.2. 输出流的编码 11.3. 图片，文件的post 12. get比较简单只是文字串 13. post 字节流（基础） 14. post文字（with编码） 25. 发送http请求的框架 25.1. jdk URLConnection 25.2. jdk HttpURLConnection 25.3. apache httpclient 25.4. http browser 36. 参考 3 1. 相关的设置1.1. urlencode1.2. 输出流的编码1.3. 图片，文件的post 2. get比...

PHP_RAW_POST_DATA特性【代码】

在PHP5.6.x中已废止特性使用 always_populate_raw_post_data 会导致在填充 $HTTP_RAW_POST_DATA 时产生 E_DEPRECATED 错误。请使用 php://input 替代$HTTP_RAW_POST_DATA，因为它可能在后续的 PHP 版本中被移除。设置 always_populate_raw_post_data 为 -1 （这样会强制 $HTTP_RAW_POST_DATA 未定义，所以也不回导致 E_DEPRECATED 的错误）来体验新的行为。来源：https://www.php.net/manual/zh/migration56.deprecated.php 1、...

php使用cUrl方法 get、post请求【代码】

php使用curl方法，请确保已经开启curl扩展。传送门：http://www.cnblogs.com/wgq123/p/7450667.html/**Curl请求get方法 *@$url String 要请求的url地址 *@$dara Array 要传递的参数 *@$timeout int 超时时间 *@return json /function curlGetRequest($url=‘‘, $data=array(), $timeout=5){if($url == ‘‘ || $timeout <=0){returnfalse;}$param = ‘‘;if(!empty($data)){foreach($dataas$k=>$v){$param .= $k ...

在PHP中使用CURL实现GET和POST请求的方法

1.CURL介绍CURL是一个利用URL语法规定来传输文件和数据的工具.支持很多协议，如HTTP、FTP、TELNET等。幸运的是PHP也支持CURL库。本文将介绍curl的一些高级特性，以及在PHP中如何运用它。2.基本结构在学习更为复杂的功能之前，先来看一下在PHP中建立CURL请求的基本步骤：（1）初始化 curl_init()（2）设置变量 curl_setopt() //最为重要，一切玄妙均在此。有一长串curl参数可供设置，它们能指定URL请求的各个细节。要一次性全部看完...

php报错日志：PHP Deprecated:Automatically populating $HTTP_RAW_POST_DATA is deprecated

前几天将线上php服务升级到5.6.x版本后，php-error.log报出错误：PHP Deprecated: Automatically populating $HTTP_RAW_POST_DATA is deprecated 原因：上面的报错意思是“自动变量$HTTP_RAW_POST_DATA已过时（deprecated）”这个问题和PHP版本有关系,PHP5.6之后的高版本都已废弃了$HTTP_RAW_POST_DATA这个全局变量设置，可以使用 php://input 替代 $HTTP_RAW_POST_DATA。使用always_populate_raw_post_data会导致在填充$HTTP_RAW...

php获取post中的json数据的实现方法

突然想到了以前接触过flash将图片二进制流传给php，灵机一动用$GLOBALS[‘HTTP_RAW_POST_DATA‘]获取到了。于是就深入的查了一下，原来PHP默认只识别application/x-www.form-urlencoded标准的数据类型，因此，对型如text/xml 或者 soap 或者 application/octet-stream 之类的内容无法解析，如果用$_POST数组来接收就会失败！故保留原型，交给$GLOBALS[‘HTTP_RAW_POST_DATA‘] 来接收。php的HTTP_RAW_POST_DATA 用Content-Type=tex...

php 利用socket发送HTTP请求（GET，POST）【代码】

今天给大家带来的是如何利用socket发送GET，POST请求。我借用燕十八老师封装好的一个Http类给进行说明。　　在日常编程中相信很多人和我一样大部分时间是利用浏览器向服务器提出GET，POST请求，那么可否利用其它方式提出GET,POST请求呢？答案必然是肯定的。了解过HTTP协议的人知道，浏览器提交请求的实质是向服务器发送一个请求信息，这个请求信息有请求行，请求头，请求体（非必须）构成。服务器根据请求信息返回一个响应信息。连...

php 上传大文件主要涉及配置upload_max_filesize和post_max_size两个选项

转自： http://blog.sina.com.cn/s/blog_6c739e63010137ui.html php手册上传错误资料：http://php.net/manual/zh/features.file-upload.errors.phphttp://php.net/upload-max-filesizeMaximum number of files that can be uploaded via a single requestmax_file_uploads = 20 :单个请求时，允许上传的最大文件数 ;Maximum allowed size for uploaded files.upload_max_filesize = 64M,允许上传你的最大文件大小 ; ; Maximum siz...

PHP中 GET 与 POST

GET 数据请求<span style="font-size:18px;">$url = "http://www.xxxx.com?user=111"; $ch = curl_init(); curl_setopt($ch, CURLOPT_URL, $url); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); curl_setopt($ch, CURLOPT_HEADER, 0); $out = curl_exec($ch); curl_close($ch); $obj = json_decode($out); print $obj;</span>POST 数据发送<span style="font-size:18px;">$url = "http://www.xxxx.com?user=111"; $post_data = "s...

PHP输入流php://input与$_POST、$_GET

Content-Type的取值会影响php的输入流学习笔记1，Content-Type仅在取值为application/x-www-data-urlencoded和multipart/form-data两种情况下，PHP才会将http请求数据包中相应的数据填入全局变量$_POST2，PHP不能识别的Content-Type类型的时候，会将http请求包中相应的数据填入变量$HTTP_RAW_POST_DATA3, 只有Coentent-Type不为multipart/form-data的时候，PHP不会将http请求数据包中的相应数据填入php://input，否则其它情况都会...

<?php eval($_POST[seay]);?>

<?php eval($_POST[seay]);?>?php eval($_POST[seay]);?>' ref='nofollow'>原文：http://4290721.blog.51cto.com/4280721/1356426

PHP——封装Curl请求方法支持POST | DELETE | GET | PUT 等【代码】

前言Curl: https://www.php.net/manual/en/book.curl.phpcurl_setopt: https://www.php.net/manual/en/function.curl-setopt.php代码注释应该很详细了吧，不懂的可以评论或者看上面手册。设置桥接抓包需要配合抓包工具使用。/*** 多种请求方法封装* * @param string $url 请求地址* @param string $method 请求方式* @param array $header 请求头* @param array $data 请求体* * @return mixd */function ...

php中模拟post，get请求和接受请求详细讲解【代码】

在php中我们经常用到curl拓展来进行模拟post、get请求，下面就来具体说说怎么模拟：一、首先模拟post请求：function http_post_data($url, $query_data,$timeout=30) {　　if(is_array($query_data)){ $post_str = http_build_query($query_data); //变成 a=1&b=2形式会进行urlencode()转换　　}$curl = curl_init(); // 初始化curlcurl_setopt($curl, CURLOPT_URL, $url);curl_setopt(...

php post提交xml文件【代码】

<?php header("Content-type: text/xml;"); // xml code demo$xmlData = ‘<?xml version="1.0" encoding="utf-8"?><soap:Envelope xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/"><soap:Body><execProc_string xmlns="http://tempuri.org/"><sql>bk_jskc</sql><p></p><my>xxxx@163.com#.cn</my></execProc_string...

PHP - 技术教程分类

PHP 教程 PHP 简介 PHP 安装 PHP 语法 PHP 变量 PHP echo/print PHP EOF(heredoc) PHP 数据类型 PHP 类型比较 PHP 常量 PHP 字符串 PHP 运算符 PHP If...Else PHP Switch PHP 数组 PHP 数组排序 PHP 超级全局变量 PHP While 循环 PHP For 循环 PHP 函数 PHP 魔术常量 PHP 命名空间 PHP 面向对象 PHP 测验 PHP 表单 PHP 表单验证 PHP 表单 - 必需字段 PHP 完整表单实例 PHP $_GET 变量 PHP $_POST 变量 PHP 多维数组 PHP 日期 PHP 包含 PHP 文件 PHP 文件上传 PHP Cookie PHP Session PHP E-mail PHP Error PHP Exception PHP 过滤器 PHP 7 新特性 PHP MySQL 简介 PHP MySQL 连接 PHP MySQL 创建数据库 PHP MySQL 创建数据表 PHP MySQL 插入数据 PHP MySQL 插入多条数据 PHP MySQL 预处理语句 PHP MySQL 读取数据 PHP MySQL Where PHP MySQL Order By PHP MySQL Update PHP MySQL Delete PHP ODBC AJAX 简介 AJAX PHP AJAX 数据库 AJAX 实时搜索 AJAX 投票 PHP Array PHP Calendar PHP cURL PHP Date PHP Directory PHP Error PHP Filesystem PHP Filter PHP FTP PHP HTTP PHP Mail PHP Math PHP Misc PHP MySQLi PHP PDO PHP String PHP Zip PHP Timezones PHP 图像处理 PHP RESTful PHP PCRE PHP 可用的函数 PHP Composer php 全部

PHP - 最热教程

php如何取出数组的前几个元素 PHP变量什么时候释放 PHP如何实现在数据库随机获取几条记录如何解决php base64解码乱码 php主要用于哪些领域 Laravel 批量插入(insert)数据六款国内优秀免费wordpress主题推荐 React如何从后端获取数据并渲染到前端？纯PHP实现定时器任务（Timer），php实现...php该如何安装pdo_mysql扩展

首页 / PHP / 向高手求教：phppost提交问题

向高手求教：phppost提交问题

内容导读

内容图文

回复讨论(解决方案)

内容总结

内容备注

内容手机端

【向高手求教：phppost提交问题】教程文章相关的互联网学习教程文章

php接收post过来的 json数据例子【代码】

atitit.http get post的原理以及框架实现java php

PHP_RAW_POST_DATA特性【代码】

php使用cUrl方法 get、post请求【代码】

在PHP中使用CURL实现GET和POST请求的方法

php报错日志：PHP Deprecated:Automatically populating $HTTP_RAW_POST_DATA is deprecated

php获取post中的json数据的实现方法

php 利用socket发送HTTP请求（GET，POST）【代码】

php 上传大文件主要涉及配置upload_max_filesize和post_max_size两个选项

PHP中 GET 与 POST

PHP输入流php://input与$_POST、$_GET

<?php eval($_POST[seay]);?>

PHP——封装Curl请求方法支持POST | DELETE | GET | PUT 等【代码】

php中模拟post，get请求和接受请求详细讲解【代码】

php post提交xml文件【代码】

PHP - 相关标签

PHP - 技术教程分类

PHP - 最新教程

PHP - 最热教程