Laravel Form versteckte Felder schützen und URL

Question

Ich habe eine mit Klinge bearbeiten, eine Ressource zu bearbeiten, wie folgt aus:

{{Form::model($post ,['action'=> ['PostController@update', 'id' => $post->id], 'method' => 'post'])}} 

, die mit Wirkung eine Form erzeugt

http://example.com/posts/edit/123 

Und meine Felder, mit Text und versteckte Eingaben

Mit dieser URL ist es für einen schlecht gemeinten Benutzer sehr einfach, andere Posts zu aktualisieren.

Wie kann ich die Route schützen, damit sie fehlschlägt, wenn die ID mit dem Inspector manipuliert wird? Gibt es ein eingebautes Wat, um die ID zu tokenisieren, um sicherzustellen, dass sie übereinstimmt? Kann dies auch für alle versteckten Eingänge gelten?

Dank

EDIT:

Ein Beispiel für meine versteckten Felder Nutzung: Meine Beiträge im allgemeinen Fragen und Antworten sind, wenn ein Benutzer eine Antwort auf eine Frage hinzuzufügen versucht, habe ich question_id als verstecktes Feld, und ich möchte überprüfen, dass es nicht manipuliert ist.

Answer 1

Limonte Antwort ist richtig, die Fähigkeit zur Sicherung anderer Völker Beiträge zu bearbeiten - und Sie sollten das immer tun. Um die zweite Hälfte Ihrer Frage zu beantworten:

Ich habe question_id als ein verstecktes Feld festgelegt, und ich möchte überprüfen, dass es nicht manipuliert ist.

Das Problem ist, dass man nie Vertrauen der von einem Client auf Ihr System gelieferten Daten. Sie müssen immer annehmen, dass es manipuliert worden ist.

Eine Möglichkeit zu helfen minimieren das Risiko Sie die encryption service by Laravel, dies zu tun verwenden können:

{{ Form::hidden('question_id', Crypt::encrypt($question_id)) }} 

Dann in Ihrem Controller

$question_id = Crypt::decrypt(Input::get('question_id')); 

So stellen Sie sicher, dass Sie eine zufällige festgelegt haben Anwendung Verschlüsselungsschlüssel in Ihrer app.php Konfigurationsdatei

Answer 2

Um die Route zu schützen, sollten Sie die Erlaubnis in PostController@update überprüfen.

Bei dem Verfahren beginnen, zu überprüfen, ob Benutzer bearbeiten können Post gegeben:

public function update($postId) 
{ 
    $post = Post::findOrFail($postId); 

    if ($post->user_id !== Auth::id()) { 
     abort(403, 'Unauthorized action.'); 
    } 

    // validate, update record, etc. 
}