Как правильно сделать удаление комментария?

Question

[SimBioT19]

У меня на сайте каждый пользователь спокойно может свой удалить комментарий. Удаляются комментарии через ajax — просто отправляется id пользователя и id комментария на файл delete.php, а там уже обращение к БД.
Проблема в том, что пользователь может заменить id комментария и удалить любой другой. Как от этого защититься? В голову приходит идея отправлять вместе с id пользователя также его уникальный хэш, если id пользователя в БД и хэш не совпадают, комментарий удалён не будет. Правильный ли такой подход и как сделать, чтобы пользователь также не мог изменить id на номер другого своего комментария? Как точно знать на каком комментарии пользователь нажал кнопку "удалить"? И вообще, как эта часть организована на тостере, например? Какие данные пользователь должен отправлять, чтобы ничего нельзя было подменить?

Answer 1

[Александр Таратин]

При авторизации пишите id пользователя в сессию.
При комментировании крепите id пользователя к комменту.
При удалении берете id пользователя из сессии и сверяете его с id пользователя из коммента.
Если совпадают - удаляете коммент.

Comments

[SimBioT19]

"При удалении берете id пользователя из сессии и сверяете его с id пользователя из коммента." — id должен будет отправляться через ajax и вот тут загвоздка — его можно изменить

[Александр Таратин]

SimBioT19: >id должен будет отправляться через ajax
Нет https://www.google.ru/webhp?sourceid=chrome-instan...

[Alex Safonov]

Не стоит вообще внутренний ID пользователя светить в html. И передавать его незачем для сравнения.

[SimBioT19]

Александр Таратин: да, вы правы

[SimBioT19]

Ответ ниже: "Хотя по формулировке вопроса я чувствую у вас нет привязки комментария к ID пользователя?" Каким образом должна осуществляться привязка?

[Oleksiy Chechel]

SimBioT19: >id должен будет отправляться через ajax
user_id комментария берется из базы, id пользователя из сессии, ничего не передается в аякс

Answer 2

[Alex Safonov]

Не берите данные об UserID из того что предоставляет пользователь.

Берите из сессии или из объекта User (смотря какой у вас фреймворк, или CMS, или самописный движок)

if( $comment->getUserId() === $_SESSION['user']['id'] ){
   //doDelete
}else{
  Logger::log('Fraud attempt');
}

Хотя по формулировке вопроса я чувствую у вас нет привязки комментария к ID пользователя?

Comments

[SimBioT19]

Какая собственно должна быть привязка? Естественно в БД хранится кто написал комментарий, а что-нибудь ещё надо?

[SimBioT19]

Так в чём я не прав и какая ошибка?