如何保护用GAE使用的评级系统（即只允许一票）？

Question

加载我的网站后，我会获得唯一用户的ID。用户无法更改它 - 网站加载为iframe，ID通过GET传递：

if self.request.get('user_id'):
     user = User(key_name="id"+self.request.get('viewer_id'))
     user.put()

它可用于每个用户ID只允许一次投票。但是如何将其安全地传递到另一个GAE页面？即用户加载了我的第一页，我将他/她的id保存到数据存储区（User模型）。用户将在另一个页面上投票 - 我无法将他的ID ?id=12345传递给另一个页面。我应该怎么做才能在另一个页面上知道这个id（这样用户将无法改变它）？

Answer 1

这种机制一开始并不安全 - 用户可以轻松查看浏览器中的iframe，确定ID的传入方式，并将其更改为传递任何ID。您需要找到一种从主机站点获取实际安全的用户ID的方法。

为确保用户在此之后不能互相模仿，您应该使用会话库建立cookie会话，并将用户的ID存储在会话状态。