Acties via url veilig?

Overzicht Reageren

Sponsored by: Vacatures door Monsterboard

Webshop beheerder / Fullstack developer

Functie omschrijving Wij zijn op zoek naar een full stack developer die zich bezig gaat houden met het uitbreiden en verbeteren van de online webshop. Een onderdeel van jouw werkzaamheden is naast het beheren van de webshop ook om de processen en structuren te stroomlijnen. Ben jij een leergierige en ambitieuze junior developer met technische skills? Ben jij op zoek naar een werkgever die jouw de volledige vrijheid geeft om jezelf tot een volwaardige senior te ontwikkelen? Lees dan snel verder! Werkzaamheden Onderhouden van de webshop (denk aan het bijhouden van de voorraad); Nieuwe functies toevoegen aan de product configurator

Bekijk vacature »

Software Developer PHP JavaScript Python HBO SQL

Samengevat: Wij zijn een softwarebedrijf voor Autodealers. Ben jij een Medior of Senior Software Developer? Heb je ervaring met PHP, JavaScript of Python? Vaste baan: Java.Developer Software HBO €3.000 - €5.200 Bij ons op de werkvloer is er een positieve en informele sfeer. Naast een goede begeleiding en een enthousiaste klantenkring biedt deze werkgever een prettige omgeving met zeer afwisselende werkzaamheden. Houd jij van aanpakken en denk je dat je deze uitdaging aankunt? Dan zoeken wij jou! Zij werken voor grote klanten. Zij doen omvangrijke projecten die we bij deze werkgever op kantoor realiseren (geen detachering). Zij werken met state-of-the-art

Bekijk vacature »

Medior/senior Python developer

Functie Bedrijven komen bij deze organisatie om technische vraagstukken op te lossen en hierin ook tot oplossingen te komen waar ze zelf misschien niet aan gedacht hadden. Jij gaat vanuit je ervaring dus niet alleen hands-on aan de slag met het ontwikkelen, maar zult ook zeker adviseren en proactief meedenken met de klant. Er zijn meerdere lange en/of korte projecten en het type klanten is heel uiteenlopend. Zo kun je terecht komen in een multidisciplinair scrumteam waarin je als Python developer meewerkt, of juist voor een kleiner (Greenfield) project aan de slag gaan waarin je veel breder bezig bent. Door

Bekijk vacature »

Medior Java developer (fullstack)

Wat je gaat doen: Of beter nog, wat wil jij doen? Binnen DPA GEOS zijn we dan ook op zoek naar enthousiaste Java developers om ons development team te versterken. Als Java developer werk je in Agile/Scrum teams bij onze klanten en daarbij kun je eventueel ook andere ontwikkelaars begeleiden in het softwareontwikkelproces. Verder draag je positief bij aan de teamgeest binnen een projectteam en je kijkt verder dan je eigen rol. Je gaat software maken voor verschillende opdrachtgevers in jouw regio. Je bent een professional die het IT-vak serieus neemt en kwaliteit levert. Je leert snel vanwege je diepgaande

Bekijk vacature »

Front-end Developer - React - Data Driven

Bedrijfsomschrijving Onze klant is een snelgroeiende organisatie die een data-driven inspectieapp op de markt hebben gebracht die nu al een aantal jaar door verschillende organisaties wereldwijd gebruikt wordt. Er zijn zo'n 6 mensen werkzaam bij dit bedrijf en ze zijn nu vooral op zoek naar een sterke front-end developer die wil gaan werken aan nieuwbouw applicaties en de uitbouw van de huidige applicaties. De reden dat ze zoeken is omdat er veel werk op komst is en ze hier de juiste capaciteit voor willen hebben. Er heerst hier een hele prettige sfeer waarin respect en eerlijke communicatie belangrijk is. Ook

Bekijk vacature »

Java Developer

Dit ga je doen Ontwerpen en bouwen van nieuwe functionaliteiten binnen de complexe omgeving; Proactief de processen kwalitatief en efficient inrichten; Opzetten van Unit Tests; Code Reviews; Regie nemen voor innovatieve projecten; Landschap beheren en de bijbehorende ketens hierbij in het oog houden. Hier ga je werken De organisatie is actief binnen de financiele branche en heeft een IT afdeling van circa 450 man. De organisatie voorziet de maatschappij binnen de financiele dienstverlening en is gedurende de jaren een onmisbare schakel geworden. Het is een high profile organisatie waar ze veel te maken hebben met veranderingen voortkomend uit maatschappelijke ontwikkelingen,

Bekijk vacature »

Product Developer (M/F), Fulltime 40 h/week

A global Plantbased revolution – that is our dream. Maximising the protein transition – that is our mission. Producing and developing sustainable and delicious products – that is what we do. Ojah is a fast growing company with a mission and has the ambition to be the world leader in its field. To support this growth we are hiring new colleagues. People that would like to make a difference and dare to dream big. With currently a 150 colleagues proudly working on our exceptional products. Working in a dynamic surrounding that runs full speed ahead. We need you! Product Developer

Bekijk vacature »

Software Developer C++ en Perl

Ben je een slimme en enthousiaste universitair opgeleide bèta die graag bij een relatief klein softwarebedrijf wil werken waar de sfeer goed is en eigen inbreng gewaardeerd wordt? Wij, IntelliMagic in Leiden, ontwikkelen technisch hoogwaardige software op het gebied van IT infrastructuur performance analytics. Het type software zorgt voor intellectueel interessante uitdagingen. We ontwerpen de producten zelf en verkopen deze als off-the-shelf software aan grote bedrijven in Europa en de VS. Wij zoeken een ervaren C++ software engineer met kennis van Perl voor een van onze ontwikkelteams. Werkzaamheden Samen met de andere ontwikkelaars specificeren, ontwerpen en implementeren van nieuwe functionaliteit

Bekijk vacature »

Oracle APEX developer

Wat je gaat doen: Als Oracle APEX ontwikkelaar bij DPA werk je samen met collega’s aan de meest interessante opdrachten. Je zult je ervaring met SQL, PL/SQL, JavaScript, HTML en CSS inzetten om wensen van opdrachtgevers te vertalen naar technische oplossingen. Je werk is heel afwisselend, omdat DPA zich niet beperkt tot een specifieke branche. Zo ben je de ene keer bezig binnen de zorgsector, de andere keer is dit bij de overheid. Wat we vragen: Klinkt goed? Voor deze functie breng je het volgende mee: Je hebt een hbo- of universitaire opleiding afgerond Je hebt 2 tot 5 jaar

Bekijk vacature »

Developer Low-code

Dit ga je doen Low-code ontwikkeling van software voor landelijk bekende organisaties; Opleveren van mooie eindproducten, middels de Agile methodiek; Samenwerken in een team van 10 collega's; Direct contact met de eindklant over de gewenste oplossingen. Hier ga je werken Als Developer kom je te werken in de regio van Lelystad bij een organisatie die met toonaangevende klanten uit heel Nederland samen werkt. De producten en diensten van de organisatie bereiken miljoenen Nederlanders. Hierbij komt een grote hoeveelheid informatie kijken en deze moet discreet en veilig verwerkt worden. De processen die hierbij horen worden door het IT team vormgegeven. De

Bekijk vacature »

Senior Front end developer

Functie Wij zijn op zoek naar een ambitieuze, zelfsturende Front-end Expert die ons (internationale) team komt versterken. Onze huidige software development afdeling bestaat uit 7 developers en designers. Wij zijn een écht softwarehuis, dus ervaring in software development is wel echt een must. Er wordt tegelijkertijd aan meerdere projecten gewerkt, voor mooie toonaangevende klanten. Je hebt dus regelmatig te maken met deadlines en opleveringen. Een deel van onze omgeving is in Angular.JS. Dit deel wordt langzamerhand omgebouwd naar de nieuwste versie van Angular. Jouw werkzaamheden zullen bestaan uit: Het aansturen en begeleiden van jouw collega’s Het implementeren van visuele elementen

Bekijk vacature »

Full-stack developer

Als Full-stack developer bij KUBUS houd je je bezig met het ontwikkelen van de (web)applicatie en services van BIMcollab. Samen met je SCRUM team werk je aan zowel de front- als de back-end. Als softwarebedrijf bevindt KUBUS zich in een unieke positie. We bouwen aan onze eigen producten die wereldwijd door tienduizenden gebruikers worden gebruikt. Ons bedrijf heeft precies de juiste grootte: groot genoeg om echt impact te maken in de markt, maar klein genoeg om als individuele ontwikkelaar invloed uit te kunnen oefenen en echt het verschil te kunnen maken. Ons ontwikkelteam bestaat uit ruim 40 ontwikkelaars, testers, scrum

Bekijk vacature »

Junior .NET developer

Functie Als junior .NET ontwikkelaar start jij in ons development team met twee andere .NET developers. Als team werken jullie in scrum en is er iedere ochtend om 11.00 een standup. Jij krijgt als junior .NET ontwikkelaar een inwerk traject dat echt specifiek wordt ingericht op basis van wat jij nodig hebt. Een van de grootste pluspunten bij ons is dat wij binnen ons bedrijf veel (technische) vrijheid geven en juist eigen initiatieven erg stimuleren. Jouw werkzaamheden gaan er bij ons als volgt uit zien: – Het ontwikkelen van nieuwe software samen met interne en eventueel externe ontwikkelaars; – Het

Bekijk vacature »

Junior Java Developer

Dit ga je doen Full stack web- en appdevelopment; Vertalen van de functionele wensen naar de technische specificaties; Sturing geven aan/klank board zijn voor de software teams; Trainen van de software teams; Sparren met klanten; Meedenken over architectuur. Hier ga je werken De organisatie is een bureau welke websites en mobiele applicaties bouwt voor verschillende toonaangevende organisaties. Hierbij richten zij zich voornamelijk op de sectoren leisure, overheid en zorg. De sfeer intern kenmerkt zich door informaliteit, gezelligheid en ambitie. Ze werken dag in dag uit samen om mooie producten op te leveren voor hun klanten. Op dit moment zijn er

Bekijk vacature »

Mendix Consultant / Developer

Dit ga je doen Het in kaart brengen en analyseren van de functionele wensen van de klant rondom Mendix applicaties; Het fungeren als sparringpartner voor de (interne) klanten; Het opstellen van requirements en het vertalen hiervan naar technische mogelijkheden; Het opstellen van user stories; Het bouwen van de Mendix applicaties in samenwerking met jouw team of zelfstandig; Het testen van op te leveren software en het zorg dragen voor de implementatie; Trainen van gebruikers in het gebruik van de applicatie; Werken in een Agile omgeving. Hier ga je werken De organisatie begeeft zich in de retail branche en focust zich

Bekijk vacature »

Pagina: 1 2 volgende »

Tim S

Tim S

11/12/2012 13:02:13
Quote Anchor link
Hallo,

Ik zit met een vraag, is het veilig om acties uit te voeren via de url op een beveiligde pagina.

Dus stel ik wil een pagina aanpassen dan staat er in de url index.php&action=save-content&id=1. Als de gebruiker dan nu een 2 bij id invult dan wijzigt er een andere pagina, wat niet zo erg is wan het zijn zijn eigen pagina's. Maar als de gebruiker bezig is en halverwege per ongeluk op f5 drukt wordt dit ook meteen opgeslagen.

Zo zijn er natuurlijk meer voorbeelden, maar het gaat er om of dit veilig is en gebruikelijk??

Alvast bedankt
 
PHP hulp

PHP hulp

25/04/2024 03:43:50
 
Erwin H

Erwin H

11/12/2012 13:12:14
Quote Anchor link
Vuistregel:
GET - het verkrijgen van data van de server
POST - het verzenden van data naar de server

Als je deze vuistregel gebruikt zal je dus updates en inserts altijd via post requests doen. Ook is een post beter omdat je dan geen limiet hebt aan het aantal karakters dat je kunt versturen, wat bij get wel zo is. Het probleem van een veranderd id in de url ben je bij post ook kwijt. Kwaadwillende kunnen het zonder veel probleem nog steeds doen, maar per ongeluk zal het niet gebeuren.
 
Ozzie PHP

Ozzie PHP

11/12/2012 13:14:13
Quote Anchor link
Ik ga er vanuit dat je bekend bent met GET en POST requests. Wat jij doet, een actie via de url, is een GET request.

GET requests behoren gebruikt te worden om data op te halen / verkrijgen (to GET). POST requests zijn bedoeld om data te manipuleren. Opslaan acties behoor je eigenlijk dus niet te doen via een GET request, maar via een POST request met een formulier.
 
Tim S

Tim S

11/12/2012 13:19:17
Quote Anchor link
Het formulier wordt wel verstuurd met post, alleen de form action is pages.php&action=save-content&id=1.

Ik wil niet voor elke actie een apart php document ik doe dit liever op de pagina pages.php. Hierin heb ik dan een switch waarin in de afhandeling's documenten worden geinclude. Zo is het nog wel overzichtelijk maar heb ik wel alle documenten bij elkaar in een pagina.

Maar ik kan dus beter een hidden field gebruiken??
 
Chris PHP

Chris PHP

11/12/2012 13:20:04
Quote Anchor link
Tim Slootweg op 11/12/2012 13:02:13:
index.php&action=save-content&id=1.


Wat de twee heren hierboven zeggen klopt en kun je aanhouden. En om je snel uit te leggen waarom insert's, update's en delete's onveilig zijn via GET is als voglt.

Nu wijzig je de content van je id 1, maar als ik nu kwaad wil doen, zet ik daar bij id gewoon 2, 3, 4, etc neer om een ander record te wijzigen.

Dus kan er heel makkelijk verkeerde gegevens gewijzigd worden, escapes en 'invoerveiligheid' zijn dan niet van toepassing, want ik blijf een int (cijfer) geven alleen niet het id wat de bedoeling was.
 
Erwin H

Erwin H

11/12/2012 13:26:15
Quote Anchor link
Die 'action' parameter kan je gewoon behouden. Zelfs ook in de url of in een hidden input. Het id zou je echt niet in de url moeten plaatsen, maar ook in een hidden input.
 
Tim S

Tim S

11/12/2012 13:37:45
Quote Anchor link
Ja ik kan de id natuurlijk ook gewoon in het php gedeelte ophalen dus die hoeft dan niet in het formulier...

Alleen kom je als je op een pagina link klikt op de de pagina pages.php&action=view&id=1, nu haal ik gegevens op dus dit is goed. Op de view pagina staat boven de pagina een menu met de acties die je kunt uitvoeren. Als ik dan bijvoorbeeld de content ga wijzigen opent er een dialog met het formulier(tiny mce). Als ik dan op submit druk verstuur ik het formulier met method post. Maar als ik dan $_GET gebruik heb je nog steeds de id van pages.php&action=view&id=1 en deze is dan alsnog aan te passen. Zelfs als ik dit op het php gedeelte heb.

Dus kortom ik loop alleen even vast met de id...
 
Erwin H

Erwin H

11/12/2012 13:41:27
Quote Anchor link
Je kan dan ook het id nog in een hidden input plaatsen. Die gaat dan mee met de POST en die is bepalend. Bij een update gebruik je alleen de waarde in de POST en niet die in de GET.
 
Moose -

Moose -

11/12/2012 13:42:12
Quote Anchor link
Het is ook helemaal niet erg om die id in je url neer te zetten. Zolang je bij het opslaan van de data maar kijkt of je gebruiker ook daadwerkelijk dat id mag aanpassen
 
Tim S

Tim S

11/12/2012 13:43:43
Quote Anchor link
Maar als ik de id in een hidden field stop is het ergste probleem wel opgelost

Toevoeging op 11/12/2012 13:44:32:

Ja had het laatste bericht niet gezien, maar zo moet het dan wel werken.
 
Ozzie PHP

Ozzie PHP

11/12/2012 13:53:56
Quote Anchor link
Oh, wellicht ten overvloede...

Je hebt het over een beveiligde pagina. Ik weet niet exact hoe je dit gedaan hebt, maar stel... ik log in en vervolgens krijg ik dan een overzicht te zien van items die ik kan verwijderen. Allemaal prima. Echter, realiseer je wel dat ik als ik niet ben ingelogd nog steeds diezelfde url's kan aanroepen. Je zult dus voorafgaand aan iedere verwijder actie moeten controleren of de betreffende persoon is ingelogd.
 
Tim S

Tim S

11/12/2012 14:25:58
Quote Anchor link
De gebruiker moet inloggen om de pagina te bezoeken.
Als je het heel uitgebreid wilt doen kunt je werken met een user class met rechten, maar dit is nu goed.
 
Ozzie PHP

Ozzie PHP

11/12/2012 14:41:52
Quote Anchor link
Ja, maar snap je wat ik bedoel? De gebruiker logt in en krijgt dan de links te zien. Echter, een niet ingelogde gebruiker kan nog steeds de links aanroepen zonder ingelogd te zijn.
 
Tim S

Tim S

11/12/2012 14:45:39
Quote Anchor link
Hij kan ze wel aanroepen maar dan krijgt hij of zij de inlog pagina te zien. Misschien zie ik iets over het hoofd??

Toevoeging op 11/12/2012 14:47:24:

De beheer pagina is wel een aparte pagina.
 
Ozzie PHP

Ozzie PHP

11/12/2012 14:52:45
Quote Anchor link
Tim Slootweg op 11/12/2012 14:45:39:
Hij kan ze wel aanroepen maar dan krijgt hij of zij de inlog pagina te zien.

Oké, dan kan een kwaadwillende in ieder geval niks verwijderen. Lijkt me prima.
 
Tim S

Tim S

11/12/2012 15:05:02
Quote Anchor link
Ja mij ook en voor als ik het systeem ga uitbreiden ga ik wel iets gaan doen met rechten.
 
Kris Peeters

Kris Peeters

11/12/2012 15:28:19
Quote Anchor link
Okay, de discussie verlegt zich wat naar "rechten".

Een Admin panneel valt of staat bij een deftig inlog systeem.
Daarbij kunnen leden een "rol" krijgen (bv. "moderator", "contributor", "admin").

Een stuk content (bv. een bericht) krijgt altijd een auteur mee.

Bij het aanpassen of verwijderen moet je dus eerst controleren of de gebruiker rechten heeft om dit te verwijderen/aanpassen.

bv.
Een admin heeft alle rechten.
Een moderator mag alle pagina's aanpassen.
Een contributor mag enkel de eigen posts aanpassen.

Dus, dit alles hoor je te controleren.
 
Mark Hogeveen

Mark Hogeveen

11/12/2012 15:44:43
Quote Anchor link
Maar jullie zeggen aan het begin dat GET uitsluitend bedoeld is om data van de server zelf te ontvangen.
Maar hoe zit dat dan met de navigatie van bijna alle sites? Als ik bijvoorbeeld www.domeinnaam.nl/home heb dan is home of een map, of een bestand, waarbij de extentie is weggewerkt met mod rewrite of het is gewoon een get variabele die geen vraagteken of engelse "and" teken bevat omdat deze is ge mod rewrite.
Veel sites gebruiken dus GET variabelen om de gebruiker te navigeren naar een pagina, en dan is het vaak al de bedoeling dat de gebruiker die GET variabele zelf typt achter de domeinnaam.
Het is dus niet van de server.
Maar als je een menu met links op een pagina zet, en je klikt op een link die verwijst naar bijvoorbeeld www.domeinnaam.nl?page=home
Dan komt die GET ook niet van de server.
Facebookpagina's zijn een voorbeeld...
Gewijzigd op 11/12/2012 15:46:07 door Mark Hogeveen
 
Kris Peeters

Kris Peeters

11/12/2012 15:52:40
Quote Anchor link
Via mod rewrite kan je inderdaad GET-variabelen wat verstoppen. Maar het blijven wel GET-variabelen.
Kijk eens naar de url van deze pagina hier.

We zitten hier op en topic met id=88101
mod rewrite herschrijft dat dus in iets wat "mooier" is.
 
Tim S

Tim S

11/12/2012 15:54:10
Quote Anchor link
@kris
Ja dit klopt bij mij is er alleen admin recht op dit momen. En hoe noem je het dan als er iemand is die wel alle pagina's mag aanpasen maar niet mag verwijren bijv.

@harry,

Volgens mij staan alle bestande op een server, dus haal je met $_get gewoon iets van de server
Gewijzigd op 11/12/2012 15:55:31 door Tim S
 
Mark Hogeveen

Mark Hogeveen

11/12/2012 16:14:04
Quote Anchor link
Tuurlijk staan alle bestanden op de server, maar de GET request komt niet van de server maar van de browser, dat bedoel ik.
 

Pagina: 1 2 volgende »



Overzicht Reageren

 
 

Om de gebruiksvriendelijkheid van onze website en diensten te optimaliseren maken wij gebruik van cookies. Deze cookies gebruiken wij voor functionaliteiten, analytische gegevens en marketing doeleinden. U vindt meer informatie in onze privacy statement.