jQuery $.ajax - niebezpieczeństwa z tym związane

Question

Cześć,

zrobiłem stronę internetową, która ma służyć do obśługi konkrusu matematycznego w mojej szkole. Wyznaczeni uczniowie będą czytać pytania i podawać odpowiedzi, a ja będe zaznaczał na laptopie podane przez nich odpowiedzi. Całość będzie uruchamiana lokalnie. Wysyłałem link do tego paru osobom, kolega zwrócił mi uwagę na użycie ajaxa, że wiązać się to może z nieautoryzowanymi odpowiedziami i trzeba by było to zabezpieczeczyć. Niestety nie chciało mu się jednak mi tego tłumaczyć.

$.ajax użyłem do wysłania wartości zaznaczonej odpowiedzi do pliku, który za pomocą PHP wysyła zmienną do bazy MySQL, potem wartość z bazy jest porównywana z kluczem i dzięki temu sprawdzam czy została zaznaczona prawidłowa odpowiedź. Pewnie można by to było lepiej zrobić i prościej..., ale udało mi się tylko tak to wymyślić.

Jednak skoro już tak zrobiłem, to proszę jeśli da się to jakoś krótko wytłumaczyć, powiedzcie mi czy faktycznie wiąże się to z jakimś niebezpieczeństwem?

Strona nie będzie raczej udostępniania w internecie. Chyba, że jako część mojego portfolio, ale znów nie jest to mój projekt życia, więc to się jeszcze zobaczy, a portfolio na razie nie istnieje :) Głównie chcę wiedzieć na przyszłość, jak takie rzeczy zabezpieczać.

Link: soroban.esy.es (wielokrotne zaznaczanie odpowiedzi zostało już usunięte, ale na razie niezaktualizowane)

Dzieki wielkie ;)

Answer 1

Dopóki nie wysyłasz jakichś wrażliwych danych i cała walidacja leci po stronie PHP, to prawdę powiedziawszy nie bardzo wiem jakie to problemy ma sprawiać… Przecież Ajaks to normalne żądanie do serwera.

Comments

Dlatego pytałem się kolegi, ale mu się nie chciało tłumaczyć. Tak się zastanawiałem, jak można by było w nieautoryzowany sposób podać odpowiedź. Gdyby to był jeszcze get, ale ja postem wysyłam. No nic, skoro mówisz, że akurat w tym wypadku nie da się wpłynąć na odpowiedź to jestem spokojny. Nawet, gdyby były luki to i tak, to ja zaznaczam odpowiedzi i inni nie mają do tego dostępu, bo widzą tylko obraz z projektora :) Jednak warto uczyć się za wczasu :)

Dzięki w takim razie.

---

To nie ma znaczenia czy wysyłasz GET czy POST - to jest bez problemu do podrobienia. Jeśli nie ma walidacji danych po stronie serwera, to można nawet przez socketa słać ;)

---

A mógłbyś mi wytłumaczyć albo jakiś link podać, gdzie dowiem się czegoś na temat walidacji po stronie serwera? Nie wiem nawet co to socket ;P Dlatego też tu piszę, bo chcę się czegoś dowiedzieć, ale jak Ci się nie chce to ja sobie poszukam potem, może znajdę :)