laravel proteggere i campi nascosti del modulo e url

Question

Ho una modifica fatta con lama di modificare una risorsa, come questo:

{{Form::model($post ,['action'=> ['PostController@update', 'id' => $post->id], 'method' => 'post'])}} 

che genera un modulo con un'azione

http://example.com/posts/edit/123 

E i miei campi, avendo testo e input nascosti

Vedendo questo URL, è molto facile per un utente con cattive intenzioni aggiornare altri post.

Come posso proteggere il percorso per fallire se l'ID viene manipolato con l'ispettore? Esiste un wat integrato per tokenizzare l'id per assicurarsi che corrisponda? Questo può anche essere applicato a tutti gli input nascosti?

Grazie

EDIT:

Un esempio sul mio nascosta utilizzo campi: miei post sono generalmente domande e le risposte, quando un utente tenta di aggiungere una risposta a una domanda, ho impostato question_id come nascosta campo, e voglio verificare che non sia manipolato.

Answer 1

risposta di Limonte è corretta per garantire la possibilità di modificare i messaggi di altri popoli - e si dovrebbe sempre farlo. Per rispondere alla seconda metà della tua domanda:

Ho impostato question_id come campo nascosto e voglio controllare che non sia manipolato.

Il problema è che si può mai fiducia i dati forniti da un client per il sistema. È necessario sempre presumere che sia stato manomesso.

Una possibilità per contribuire a minimizzare il rischio è che si può utilizzare il encryption service by Laravel per fare questo:

{{ Form::hidden('question_id', Crypt::encrypt($question_id)) }} 

Poi nel controller

$question_id = Crypt::decrypt(Input::get('question_id')); 

solo assicurarsi di aver impostato un caso chiave di crittografia dell'applicazione nel file di configurazione app.php

Answer 2

Per proteggere il percorso è necessario controllare l'autorizzazione in PostController@update.

Nel controllo che inizia metodo se l'utente può modificare determinato posto:

public function update($postId) 
{ 
    $post = Post::findOrFail($postId); 

    if ($post->user_id !== Auth::id()) { 
     abort(403, 'Unauthorized action.'); 
    } 

    // validate, update record, etc. 
}