我有一个非常大的表单,分为5个子表单。当您从form1转到form2时,form1中的信息将存储在DB中,并创建userId。然后在form2中将此userId添加为隐藏输入。像这样:
<form action="" method="post">
<input type="hidden" value="userIDnumber" id="userId" />
<input type="hidden" value="<?php echo base_url();?>" id="url" />
//form data
<input type="button" id="prevButton" value="Prev" />
<input type="submit" value="Next" />
</form>
如果用户决定想返回form1编辑数据,点击“返回”按钮时会发生以下情况:
var prev = document.querySelector('#prevButton');
if(!prev.addEventListener){
prev.attachEvent('onclick', prevPage);
}else{
prev.addEventListener('click', prevPage, false);
}
function prevPage(e){
var userId = document.getElementById('userId').value;
var url = document.getElementById('url').value;
var form = document.createElement('form');
form.setAttribute('method', 'post');
form.setAttribute('action', url + 'form/1');
form.style.display = 'hidden';
var input = document.createElement("input");
input.setAttribute("type", "hidden");
input.setAttribute("name", "userId");
input.setAttribute("value", userId);
form.appendChild(input);
document.body.appendChild(form);
form.submit();
}
我正在做的是创建一个隐藏的表单,并在这个表单中添加一个UserId的隐藏字段,这样当转到form1时,我可以检索用户刚刚发布的数据,并在用户更改任何内容时更新数据库。
我的问题是,这是一种检索用户数据的安全方法吗?我是javascript的新手,所以我不确定是否做这样的事情让攻击者通过直接插入他们的id来访问其他用户的数据。
如果是这样,这样做的正确安全方法是什么?我想过可能会使用会话,但我正在为之工作的客户端不希望用户必须登录。
我没有发现任何与此相关的问题,但如果我有道歉并请请指出我的位置。
感谢您的时间。
答案 0 :(得分:0)
当用户访问我的网页时,我创建了一个全局对象,在其中我创建了一个这样的用户命名空间:
APP.user = {};
在此对象中,您可以存储所需的属性,并且可以在用户登录时使用Ajax从服务器检索用户数据。
您在浏览器内存中获得了一个带键值对的简单对象。例如:
APP.user = {
user_id: 'kgy',
firstname: 'kim',
lastname: 'gysen',
}
实际上,这些数据也是公开的 在涉及敏感数据时,将数据存储在DOM /全局对象空间中永远不会安全 当然,无论如何,用户都需要登录才能访问这些数据。
有一点是这种方法会更快,因为不需要抓取DOM,只是为了在不同的页面上获取一些本地用户数据。