我的网站由一个页面(或者最好的)组成,最重要的是处理POST
和其他内容。现在,我有一些POST
- 仅供管理员使用的内容。它们位于一个单独的文件中,因此我将其包括在内:
if($_SESSION['type'] == 'admin'){
include('adminhandler.php');
}
现在,在adminhandler.php
我还检查每个POST
或函数用户的类型是否正确,例如:
if(isset($_POST['deleteUser']) && $_SESSION['type'] == 'admin'){ /* do stuff;*/ }
现在,我想知道这是否确实是必要的。有没有机会用户可以操作任何东西以某种方式包含一个php文件而没有$_SESSION['type']
admin
?
这可能是一个愚蠢的问题,但为了安全起见,我宁愿在不确定之前采取一定的措施。