Блог

Я не уверен, понимаю ли я атрибут «hidden» при создании комментариев к сообщению. Я написал приведенный ниже код, чтобы «направить» комментарий к post_id

    <input type="hidden" name="post_id" value="{{$post->id}}" >
  

Другие люди, похоже, также используют этот «скрытый» метод для поиска post_id. Проблема в том, что когда я проверяю элементы и пишу «3» в значении, это позволяет мне написать комментарий к совершенно другому сообщению в блоге.

Есть ли какой-нибудь способ проверить post_id или сделать невозможным использование «проверять элементы».

Вот как выглядит контроллер CommentStore

 public function storeComment(request $request)
{

$post = $request->post_id;
$id = Auth::id();

Comment::create([
    'body' => $request->body,
    'user_id' => $id,
    'post_id' => $post
]);

return redirect('/');
}
  

Если пользователи должны иметь возможность оставлять комментарии только к определенным сообщениям, используйте политику авторизации для авторизации запроса и разрешайте их комментарии только там, где они должны быть разрешены.

Если пользователи должны иметь возможность размещать сообщения где угодно, не беспокойтесь об этом. Пользователь на самом деле не делает ничего, чего он не должен делать в этом сценарии.

я прочитал ответ от @ceejayoz , и он выглядит хорошо

Но если ваше приложение небольшого масштаба и вам не нужно внедрять authorization политики, есть такой способ

Проблемы в вашем hidden attribute

пользователь сможет прочитать их с помощью view::source или даже может inspect использовать страницу и rewrite ее

Решение

Что мы делаем

Шифрование post_id в скрытом атрибуте формы и decrypting it the controller

Документы по шифрованию см.https://laravel.com/docs/5.8/encryption

Следуйте инструкциям

Число просмотров

От

 <input type="hidden" name="post_id" value="{{$post->id}}" >
  

Для

 <input type="hidden" name="post_id" value="{{Crypt::encrypt($post->id)}}" >
  

Теперь post_id зашифровано в виде

Контроллер

Добавьте это пространство имен в начало контроллера

 use IlluminateSupportFacadesCrypt;
use IlluminateContractsEncryptionDecryptException;
  

Добавьте эту функцию в свой контроллер

 public function decryptId($encryptedId='',$message='Not Found',$statusCode=404)
    {
        try {

            $decrypted =Crypt::decrypt($encryptedId);

            return $decrypted;

            } catch (DecryptException $e) 
            {
            abort($statusCode,$message);
            }
    }
  

и ваш storeComment

 public function storeComment(request $request)
{

$postIdEncrypted = $request->post_id;

$postIdDecrypted = self::decryptId($postIdEncrypted);

$post = $postIdDecrypted;
$id = Auth::id();

Comment::create([
    'body' => $request->body,
    'user_id' => $id,
    'post_id' => $post
]);

return redirect('/');
}
  

Надеюсь, это поможет