Sicherheit mit AJAX

[Jeremygolf]

Hallo zusammen,

habe eine kleine Frage um die Sicherheit meines Codes.
Ich erstelle eine Tabelle mit Ajax, die daten aus der Datenbank in die Tabelle einfügt und danach diese Daten bearbeiten kann.
Ich gebe dem AJAX Formular ein URL Parameter für die ID in der Datenbank. Nun könnte man aber dies ID ändern und zugriff auf andere Daten von anderen usern haben.
Wie relisiere ich am besten, dass ich nur auf meine Daten in der datenbank zugreifen kann.
Soll ich bevor ich das JSON format ausgebe eine Abfrage machen ob die Daten mir gehören? Und sonst mit exit();
stoppen?

Ich möchte auch das ich auf der PHP seit die das JSON ausgibt, dass die user das nicht sehen können.

Bitte um ein wenig hilfe danke.

 

[nookie]

Hallo zusammen,

habe eine kleine Frage um die Sicherheit meines Codes.
Ich erstelle eine Tabelle mit Ajax, die daten aus der Datenbank in die Tabelle einfügt und danach diese Daten bearbeiten kann.
Ich gebe dem AJAX Formular ein URL Parameter für die ID in der Datenbank. Nun könnte man aber dies ID ändern und zugriff auf andere Daten von anderen usern haben.
Wie relisiere ich am besten, dass ich nur auf meine Daten in der datenbank zugreifen kann.
Soll ich bevor ich das JSON format ausgebe eine Abfrage machen ob die Daten mir gehören? Und sonst mit exit();
stoppen?

Ich möchte auch das ich auf der PHP seit die das JSON ausgibt, dass die user das nicht sehen können.

Bitte um ein wenig hilfe danke.

Wie sensible sind denn deine Daten die du aus deiner Datenbank holst? Und was meinst du mit "..machen ob die Daten mir gehören?".

In deiner PHP-Datei kannst du doch einfach abfragen ob ein xmlHTTPRequest erfolgt ist, wenn nicht macht deine Script einfach nichts.

 

[Jeremygolf]

Wie sensible sind denn deine Daten die du aus deiner Datenbank holst? Und was meinst du mit "..machen ob die Daten mir gehören?".

In deiner PHP-Datei kannst du doch einfach abfragen ob ein xmlHTTPRequest erfolgt ist, wenn nicht macht deine Script einfach nichts.

Auf meiner website hat es ein user system. Nun sollten die user nur ihre eigenen daten bearbeiten können und nicht noch daten anderer.
Habe es jetzt mal so gemacht:

$data = $this->_db->select("SELECT * FROM rounds WHERE roundid = $roundid");
       
        if($data[0]->userid != $userid) {
            return false;
            exit();
        }

 

[nookie]

Auf meiner website hat es ein user system. Nun sollten die user nur ihre eigenen daten bearbeiten können und nicht noch daten anderer.
Habe es jetzt mal so gemacht:

$data = $this->_db->select("SELECT * FROM rounds WHERE roundid = $roundid");
      
        if($data[0]->userid != $userid) {
            return false;
            exit();
        }

Du hast doch sicherlich die UserID des eingeloggten Benutzers in einer Session gespeichert. Wenn du damit weiter arbeitest sollte eigentlich nichts passieren.

Außer...
https://www.owasp.org/index.php/Session_hijacking_attack

 

[Jeremygolf]

Du hast doch sicherlich die UserID des eingeloggten Benutzers in einer Session gespeichert. Wenn du damit weiter arbeitest sollte eigentlich nichts passieren.

Außer...
https://www.owasp.org/index.php/Session_hijacking_attack

meine variable $userid ist die userid der session. Also ich denke das klappt so.
Aber wie kann ich den JSON code für die benutzer unsichtbar machen?

 

[nookie]

Diesen wird er nicht sehen, wenn du vorher abfragst in deinem PHP Script ob ein xmlHTTPRequest erfolgt ist.

 

[scbawik]

Aber wie kann ich den JSON code für die benutzer unsichtbar machen?

Was soll das bringen?
Jemand der sich auskennt, kann das sowieso an die "unsichtbaren" Daten kommen und alle anderen werden diese Seite nie aufrufen.

 

[nookie]

Was soll das bringen?
Jemand der sich auskennt, kann das sowieso an die "unsichtbaren" Daten kommen und alle anderen werden diese Seite nie aufrufen.

Nach dem Motto - "No system is safe".