Как защититься от чужих рук?

Question

[4sadly]

есть такой код:

document.getElementById('delete').onclick = function() {
		var xhr = new XMLHttpRequest();
		var id = this.parentElement.parentElement.id;
		xhr.open("POST", '/work/delete.php', false);
		xhr.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');
		xhr.onreadystatechange = function() {
			if (xmlhttp.readyState == 4) {
				if (xmlhttp.status == 200) {
					alert(xmlhttp.responseText);
				}
			}
		};
		xhr.send("id="+encodeURIComponent(id));
	}

и php:

<?php
$data = $_POST;
require "config/db.php";
$user = R::findOne('users', 'id = ?', array($data['id']));
if($user->login!='admin'){
	R::trash($user);
}

как защититься от того, что любой человек может взять и удалить пользователя или сделать что-то другое с бд?

Answer 1

[DevMan]

для этого существуют авторизация и права доступа.

Comments

[4sadly]

авторизация есть, но вдруг кто-то додумается отправить post запрос на скрипт delete.php и удалит пользователя

[DevMan]

4sadly, ну и пусть отправит. у обычного пользователя не должно быть прав на удаление чего–либо, кроме принадлежащего ему.

[4sadly]

DevMan, а как это проверить? обычный пользователь или нет?

[DevMan]

4sadly, читайте про разграничение доступа. например, rbac.

[xmoonlight]

DevMan, как ты только выдерживаешь столько вопросов - он почти кашу из топора с твоей помощью сварил...)

[DevMan]

xmoonlight, долгие годы тренировок)

[Кирилл Несмеянов]

4sadly, я что-то не понял, что значит "как проверить", хотя выше уже написал что есть авторизация? Авторизация, как бы, и есть система проверок прав и возможностей пользователя и ничего более.

[4sadly]

Кирилл Несмеянов, у меня есть админка, и в ней можно менять пароли другим пользователям или удалять их

[Кирилл Несмеянов]

4sadly, ещё раз: Авторизация - это проверка возможностей пользователя, что он может совершить какое-то действие. Если у тебя нет таких проверок - значит и авторизации никакой нет. Л - логика.

[Вова Дружаев]

Вот что бывает когда ниразу ниодной книжки по php не прочитал. Это основы основ.
Такие базовые вещи не устаревают. Поэтому читать книги важно!

Answer 2

[xmoonlight]

Нужна PHP-сессия и авторизация пользователя для контроля его действий на основе выданных прав после авторизации.