Хотя вру. Можно просто проверять, чтобы Referrer начинался с "http://" (или "https://", если соединение через SSL) + SERVER_NAME + "/".

на javascript можно и POST делать ;)

>2) при POST передавать ID сессии как скрытое поле и проверять его (даже для анонимных пользователей)

ID уже есть в куках(их можно украсть) лучше какой-то другой ID(но это уже гемор)

>либо проверять соответствие Referrer (но лучше все-таки скрытое поле, так как домены могут быть разные).

Если очень захотеть можно и Referer нарисовать ;)

более-менее надежное спасение - HTTPS ;) "Более-менее" т.к. возможно MIM-атака(кто бы такое делал с лором?), ну и в SSL бывают баги(правда их нетривиально использовать)

от тех, кто ходит под оффтопиком с експлорером(интересно такие бывают?) не спасет ;)

Да :(

>на javascript можно и POST делать ;)

Что я и продемонстрировал.

>>2) при POST передавать ID сессии как скрытое поле и проверять его (даже для анонимных пользователей)

>ID уже есть в куках(их можно украсть) лучше какой-то другой ID(но это уже гемор)

Куки посылаются только на оригинальный сервер. Man-in-the-middle в данный момент не рассматриваем.

>>либо проверять соответствие Referrer (но лучше все-таки скрытое поле, так как домены могут быть разные).

>Если очень захотеть можно и Referer нарисовать ;)

Как ты в браузере клиента нарисуешь referrer другого сайта?

>более-менее надежное спасение - HTTPS ;) "Более-менее" т.к. возможно MIM-атака(кто бы такое делал с лором?), ну и в SSL бывают баги(правда их нетривиально использовать)

Man-in-the-middle при SSL не возможен при условии использования сертификата, выданного Thawte/Verisign/что-то в этом роде. Даже при SSL. От продемонстрированного метода SSL не спасает.

Use NoScript it rocks!

Можно подробности (какой браузер, включен ли жабоскрипт, есть ли какие-то сообщения в консоли ошибок при посещении, нажимаешь ли на линк или копируешь и вставляешь в другом окне)? Мой скрипт смотрит ник в Referrer, соответственно по нему и делает POST.

Можно и без жабоскрипта сделать. Referrer смотреть на сервере, вбивать его в HTML, сделать поле ввода и кнопку типа Search. Нажимаешь ее, а форма постится на лор. :) Или с помощью GETа - делаем iframe или даже img, нажатие кнопки не требуется.

firefox 2.0.0.3, в настройках java script все галочки убраны, ошибок никаких нет, тупо кликаю по ссылке и попадаю на чистую страницу

Т. е. сам жабоскрипт отключен?

включен. Отключена фигня типа "resize or move existing window", "disable or replace context menus" и тд

Это я фрейм отресайзил для дебага.

>Похоже это только у oper'ников работает :-)

Нет, у меня в Firefox работало.

Теперь не работает. Исправили что ли уже? :)

"тихо и незаметно" ггг

Кстати, это не только при добавлении сообщений может случиться. Позже проверим остальные случаи.

Это ровным счетом ни от чего не спасет. Ну, ник я допустим не узнаю, но я могу нацелить на одного пользователя (например, только на maxcom). POST ведь я могу сделать с любого сайта, и при этом POSTе будут использованы куки, хранящиеся в браузере.

TEST

TEST

TEST

TEST

у кого хватит духу сообщить об этом баге макскому лично? рассылку он похоже не читает ;)

>И все путем.

>Error: RegExp("^http://[^/]+/profile/[^/]+/").exec(document.referrer) has no properties Source File: http://87.226.25.208/ Line: 20

Это ни от чего не спасает. Я могу намертво вбить в action любой конкретный ник.

я - тузик

я - тузик