有漏洞无作为才可怕、可耻!


  安全问题:

  是否有权限进行CURD,因为参数在地址栏里,是可以修改的,(或参数在html页面里,可以用firebug修改源码),所以进行CURD之前要先查询该操作人是否拥有这条记录,比如:根据门店ID和传递的参数查询这条记录是否属于这个操作人,如果不属于就提示(非法操作,已被记录!,以达到警告的目的)

  例如:

    

    /*
* 校验是否有权限进行CURD
*/
public function check_rbac($theme_id){
$model=M();
$adm_session = es_session::get(md5(conf("BI_AUTH_KEY")), 1);
$location_id=$adm_session['supplier_locations'];
$map=array('id'=>$theme_id,'location_id'=>$location_id);
$result=$model->where($map)->getField('id');
if(empty($result)){
$this->error('非法操作,已被记录!');
}

}

 

  

如果您阅读过此文章有所收获,请为我顶一个,如果文章中有错误的地方,欢迎指出。

相互学习,共同进步!

 

本站声明
本文转载自:http://www.cnblogs.com/zhangxiaoliu/p/5043704.html     作者:张发财     发布日期:2015/12/13     本站转载的文章为个人学习借鉴使用,本站对版权不负任何法律责任。如果侵犯了您的隐私权益,请联系我们删除。


 
© 2014-2017 ITdaan.com 粤ICP备14056181号