Возможно ли скрыть или защитить поле input?

Question

[Дмитрий]

На сайте есть своеобразный конструктор, в котором, при выборе определенных параметров, с помощью javascript, меняется value у input со стоимостью товара. После чего при нажатии на кнопку, данные с формы отправляются на страницу оформления заказа.

<input type="hidden" name="price" value="430"> // 430 - конечная стоимость товара

Все отлично работает, только вот любой желающий может открыть код и заменить это value на к примеру "10". И на следующую страницу, в форму оформления заказа передастся стоимость 10 руб, а не посчитанные 430.

Можно ли как нибудь устранить эту уязвимость?

К примеру здесь есть защита от подобных действий:
7.serq.ru/index.php?route=information/konstryktr

Comments

[DevMan]

Дмитрий каким боком PHP в тегах к вопросу?

Answer 1

[Alter Ego]

Нельзя доверять ничему, что идет со стороны браузера пользователя, и стопроцентно тут ничего не защитишь. Думаю, оптимальней передавать на сервер выбранные пользователем параметры (которые тоже следует проверить уже на самом сервере), после чего произвести расчет цены и уже ее и взять в стоимость заказа

Comments

[Дмитрий]

А как здесь все работает? Точно так же в input итоговая цена попадает.

https://amigo-pizza.ru/sozdaj-svoyu-pitstsu.html

[Степан Крапивин]

Дмитрий: это не отменяет слова qwax о том, что нужно обязательно проверять введённые пользователем данные на сервере. На вряд ли на этом сайте как-то по другому.

Answer 2

[Константин Б.]

Все что должно быть известно о заказе на клиентской стороне, это id товара и сколько шт. их добавлено. Все остальное делается на сервере. И только так. Никаких где-то вот так. Да может и быть там что-то есть вроде цены, но в любом случае все это проверяется на сервере. Иначе заказ может уйти к вам и не в вашу пользу

Answer 3

[Валерий]

Согласен с тем, что от клиента должен приходить минимум - id и количество. Которые, вследствие, также нужно проверять.

Может быть Вам чем-то будет полезен метод data в jQuery - Вам все-таки задача виднее. Но если каких-то супер подводных камней нет - лучше не выдумывать велосипед.

Answer 4

[Дмитрий Пыркин]

К сожалению на сайте примере тоже нет защиты, Так что расчеты лучше вести на стороне сервера.

Answer 5

[Кирилл Жулин]

нет нельзя.
конечную стоимость товара нужно указывать в базе данных
возможно скрыть html(от тупых) через .htaccess
www.blogerator.org/page/fajl-primery-htaccess-redi...