проверяй соответствуют ли параметры тому, чего ты ждёшь?

А их разве нельзя подделать?

выдать нечисло за число? или, например:

$action = $_GET['act'];

switch($action){
  case "del": ...;
  break;
  case "edit": ...;
  break;
  case "add": ...;
  break;
  default: ...;
}

попробуй обойди)

Под параметрами(я так понял сначала) ты имел ввиду параметры сервера, а теперь вижу, что ты говоришь о значениях, которые ты предлагаешь подставлять в ассоциативные массивы... Вообще я сам не знаю насколько это правильно так делать с точки зрения безопасности, но вот, что по этому поводу пишет хакер. Почитай, авось передумаешь

Вопросы остаются открытыми.

у меня всегда только одна точка входа, мне нечего передумывать

Ахи, разговор вообще-то не про тебя, а про мои конкретные вопросы. Не можешь помочь, так и не размазуй кашу по столу.
Люди, обьясните кто нибудь пжласта.

Да.... Ясно, куча ответов и даже не знаю с чьего начать....
Может перефразировать вопрос?
Тогда так:
Я сделал админку на Ajax. В ней можно изментяь любые таблицы, как душе угодно, кроме таблиц юзверей. Теперь думаю, как полноценно защититься? Защитится понятно хочу серьёзно и основательно и впервые с Ajax потому и возник вопрос так ли способы защиты отличаются на самом деле от привычных(не Ajax)? ведь как не крути работает Ajax по всё тем же протоколам и теми же методами. Так может и защищатся надо также? Конечно я нашел не мало статей, как защитить Ajax приложения. В них описываются всевозможные аспекты защиты от XSS и injection в основном, но меня больше пугает не это, с этим то я разберусь. Я подумал вот бы была беда в натуре, еслиб злоумышленик перехватил весь responseText подменил его на свой и отправил дальше. К сожалению я не нахожу никакого руководства к действию на эту тему ни в одной книге по Ajax.... Неужели это настолько нереально перехватить канал юзера и разбавлять его своей бодягой?
ПРОФИ, настоятельно прошу мне разжевать.
Благодарю.

Какая разница что тебе передаёт пользователь.
Твоя задача - фильтрование всей приходящей инфы, непосредственно в скрипте / обработчике. Ты сам ответил на свой вопрос:

ну блин. волнуюсь надож всё, чтоб было в лучшем виде
ещё кто из профи может подкрепить такие взгляды для полной уверенности?

qpayct

twin
нахрена тут https?

twin
однозначно не знаю есть ли принципиальная разница и мыслить так начал непосредственно впервые. тоесть вроде бы понял, но уверенности нет и потому и обращаюсь к бывалым.

я вот допустим думал может есть такой вот способ защиты - документ делится на несколько частей :
1. верхняя(не изменяется никогда)
2. средняя(динамичная)
3. нижняя(не изменяется никогда)
под средней частью я подразумеваю как раз те значения, которые и меняет пользователь. тоесть если засечены изменения того чего я не хочу позволять менять сразу срабатывает защита от гадов.
есть вот что-то подобное?

Ну ты знаешь, что такое прокси-сервер?
Если в подъезде твоего дома жулик в разрыв провода поставит свой компьютер, то ты будешь думать, что это сервер, а сервер - что это ты. И все все, что ты будешь передавать или получать, так или иначе может быть подменено или просто стырено.
И совершенно нет разницы, аякс это или нет. И как бы ты не прятал, как бы не изгалался - все равно жулик сделает с тобой все, что только пожелает, да еще в извращенной форме.
Другой вопрос, надо ли это кому. Если у тебя банк, то да. Вот для таких случаев и придуман протокол https

twin
1) Это смотря какой тип соединения.
2) У твоего жулика не будет id сессии.
3) SSL не даёт 100% защиты и требует дополнительных шаманств, которые в 99% неоправданы, если конечно фауст не делает личный кабинет платёжной системы или банка

twin sergeiss Семён
по моему вы кое что упустили из виду. повторю на всякий случай:
я вот допустим думал может есть такой вот способ защиты - документ делится на несколько частей :
1. верхняя(не изменяется никогда)
2. средняя(динамичная)
3. нижняя(не изменяется никогда)
под средней частью я подразумеваю как раз те значения, которые и меняет пользователь. тоесть если засечены изменения того чего я не хочу позволять менять сразу срабатывает защита от гадов.
есть вот что-то подобное?

Семён
мне до платёжных систем пока рано

twin
вы не поняли.
мне не надо знать кто меняет. достаточно, что изменили то чего я не хочу чтобы меняли. менятся может только значение а остальной код допустим будет проверятся на совпадение с оригиналом у меня на серваке. вот как то так. интересно есть ли подобные защиты уверен что есть. тоьлко я пока про них не знаю.

twin у меня аж взрыв мозга произошёл, как ты вклинишься в линию с pppoe типом соединения? а затем будешь перехватывать данные? он не банк делает, там достаточно просто проверки переменных, что за детсад!!! мне это напомнило тему фильтрации данных SQL, какая разница что отправляет пользователь, его дело фильтровать фильтровать их поступления и сверять что можно принимать, а что нет.

Итак мнения разошлись?