laravel chronić formularza ukrytych pól i url

Question

mam zmienił wykonany z ostrzem edytować zasób, tak:

{{Form::model($post ,['action'=> ['PostController@update', 'id' => $post->id], 'method' => 'post'])}} 

który generuje formularz z działaniem

http://example.com/posts/edit/123 

i moich polach, mając tekst i ukryte dane wejściowe

Widząc ten adres URL, bardzo zła użytkownik może zaktualizować inne posty.

Jak mogę zabezpieczyć trasę, aby nie zadziałała, jeśli identyfikator zostanie zmanipulowany przez inspektora? Czy jest jakiś wbudowany wat, który tokenizuje identyfikator, aby upewnić się, że pasuje? Czy to też można zastosować do wszystkich ukrytych danych wejściowych?

Dzięki

EDIT:

Przykładem na moim ukrytym wykorzystanie pola: Moje posty są zwykle pytania i odpowiedzi, gdy użytkownik próbuje dodać odpowiedź na pytanie, ustawić question_id jako ukryty pole, i chcę to sprawdzić, nie jest manipulowane.

Answer 1

odpowiedź Limonte jest prawidłowa, aby zabezpieczyć możliwość edycji posty innych ludzi - i zawsze należy zrobić. Aby odpowiedzieć na drugą połowę pytania:

Ustawiłem id_wiadomości jako ukryte pole, a ja chcę sprawdzić, czy nie jest manipulowane.

Problemem jest to, że można nigdy ufa danych dostarczonych przez klienta do systemu. Musisz zawsze założyć, że zostało zmienione.

Jedną z opcji, aby pomóc zminimalizować ryzyko jest można użyć encryption service by Laravel to zrobić:

{{ Form::hidden('question_id', Crypt::encrypt($question_id)) }} 

Następnie w kontrolerze

$question_id = Crypt::decrypt(Input::get('question_id')); 

Tylko upewnij się, że zestaw losowo klucz szyfrowania aplikacji w pliku konfiguracyjnym app.php

Answer 2

Aby zabezpieczyć trasę, należy sprawdzić zezwolenie pod numerem PostController@update.

w metodzie rozpoczynającego się sprawdzenie, czy dany użytkownik może edytować wpis:

public function update($postId) 
{ 
    $post = Post::findOrFail($postId); 

    if ($post->user_id !== Auth::id()) { 
     abort(403, 'Unauthorized action.'); 
    } 

    // validate, update record, etc. 
}