[PHP] Cross site scripting voorkomen

[Verwijderd]

Hallo,

ik wil in mijn inlogpagina voorkomen dat iemand daar naar toe een POST kan doen en zo kan inloggen. Nu heb ik het als volgt, een config file waarin de URL van de site staat, deze vergelijk ik met de referrer. Maar nu moet ik dus elke keer als ik een andere URL heb (gebeurt vaak ivm testomgevingen) die config aanpassen, plus dr zijn 2 manieren van aanroepen mogelijk. Via URL of via IP. Nu wil ik dus een mooiere manier om in PHP te voorkomen dat men zo inlogt op mijn site, maar weet niet hoe...het technische programmeer gedeelte lukt wel dus dit is zeker geen script request, maar een inspiratiebron

[RobIII]

Ik weet niet hoe het in PHP zit, maar in ASP kun je gewoon de siteroot opvragen (SERVER_NAME) en die dus vergelijken met je referer (als je die uberhaupt al binnenkrijgt en als 'ie niet gespooft is).

IMHO is er weinig échte zekerheid, een referer is EASY te spoofen (niet vanuit een browser d.m.v. een HREF of gePOST form ofzo uiteraard) met bepaalde tools.

[ Voor 38% gewijzigd door RobIII op 28-04-2006 14:00 ]

[Gonadan]

Als je in je PHP de velden van de gebruikersnaam en het wachtwoord ontdoet van alle mogelijke vage codes voordat je gaat controleren of de login klopt dan kan er toch niets mis gaan?

Dan mogen ze best een eigen formuliertje schrijven, laat ze maar kloten

[crisp]

Cross site scripting is in mijn beleving iets anders dan dat je hier vraagt.

iig is een referrer-check niet echt waterdicht (is te spoofen) en ook niet echt gebruikersvriendelijk (sommige beveilgingssoftware onderdrukken de referrer).

Ik denk dat je het beste kan werken met eenmalige tokens die je uitdeelt op het moment dat de inlogpagina wordt aangevraagd en die je na het submitten serverside checkt op geldigheid.