Можно ли постом отправить данные, не используя скрытый инпут?

Question

[M25]

Не знаю как сформулировать, потому задам немного по-ламерски.
Вопрос такой: обязательно ли, чтоб отправить данные в пост запросе, вешать скрытый инпут?

Иначе говоря, хочу получить IP с которого отправлено сообщение. Скриптом генерируется html-код:

<form method="POST" action="form.php">
<input type="text" name="name">
<input type="text" name="phone">
<input type="hidden" name="ip" value="1.2.3.4" >
<input type="submit" value="Send"> </form>

Без скрытого поля никак не обойтись, или есть способы?

Answer 1

[Валентин]

Без скрытого поля никак не обойтись, или есть способы?

Есть , удали input hidden, а в файле php используй $_SERVER['HTTP_X_FORWARDED_FOR'] or $_SERVER['REMOTE_ADDR']

Comments

[M25]

IP здесь как пример. А если задача - внести, например, параметр utm_source или что-то еще - по аналогии тоже можно парсить параметр в файле-обработчике?

[Валентин]

M25, да смотри сюда $_SERVER

[Crash XD]

M25, если они будут храниться в заголовках запроса, то можно.

[Олег]

M25, Для чего в PHP $_SESSION ?

Answer 2

[Евгений Иванов]

Я бы оставил скрытое поле. Не вижу в этом проблемы.
Понятно, что вы привели пример - хотите получить ip пользователя. И вам правильно сказали - лучше это делать в PHP ($_SERVER['REMOTE_ADDR']).
Но не уточнили, что это ещё верно с точки зрения безопасности.

Но вернемся к передаче данных. Произвольных.
Так или иначе их проверка всегда должна быть на сервере. Поэтому любые "хитрости" на клиенте бесполезны. Или не имеют смысла. Только усложнят вам задачу.

Поэтому самый простой и наверно правильный способ - скрытое поле.

Comments

[M25]

Данные в скрытом поле могут быть легко подделаны тем же файербагом

[Евгений Иванов]

M25, тут разговор идет не о подделать. Тут разговор идет о передать.
Вы ни как не можете гарантировать валидность данных на клиенте. Клиент не ваш.
Ни ваш это компьютер. Точка.
Как вы и сказали - подделать можно чем угодно. Подставить или отправить из любого ПО, сниффера и т.д.

Поэтому валидность данных проверяется на сервере.
Поэтому никак на клиенте эту задачу вам не решить.

Знаете - Ростелеком в РМИС (система такая) пробовал сделать что то подобное. Хотели чтобы работали только через веб. А понадобилось выполнять действия автоматически из программы. Я обошел их "защиту" за пару часов. Ни хакер ни разу.
И это не моя заслуга - такой вот Ростелеком.