ユーザーIDをGETパラメータとして付与して情報を表示させるのは大丈夫か？

Question

例えばユーザー同士が商品の売買をできるようなサイトがあるとします。
自分ではないユーザーの名前をクリックすると、遷移したページでそのユーザーが出品した商品一覧を見られるようにする場合、
GETパラメータとしてユーザーIDを付与して遷移し、遷移した先でGETパラメータを元にユーザーの情報を絞り込んで表示させたいと考えています。
そこで、ユーザーIDをGETパラメータとして付与するのはセキュリティ的に問題ないのか質問させてください。

Comments

[m.ts10806]

「セキュリティー」タグを付けてください。言語もPHPに限らないほうが良いかと思います。

Answer 1

その様なケースではGETでもPOSTでもセキュリティ上の違いはありません。

（セキュリティ上の理由では無いですが、）むしろGETを使う方が望ましいケースだと思われます。

Comments

[coco144]

ありがとうございます！
自信がなかったので心強い回答をいただけて良かったです。

Answer 2

あまり問題になるケースが思い浮かびません。
「このユーザーの情報を見る」と一意な情報が必要な仕様であるわけですから、どうにかこうにか渡さなければなりません。
GETのようにURLに持たなかったとしても、HTMLにはどこかに現れる形になります。
となると、「そもそも他のユーザーの情報を見れるようにしているのが間違い」にもなり得ます。
ただ、teratailもユーザーの情報はユーザー名が分かれば誰でもユーザー情報を確認できます。URL直打ちでいけるので、GETです。
先にあるアドバイスのようにSQLインジェクション対策を施した上で「他のユーザーに見せる情報、見せない情報」をきちんと精査して(またはユーザー側で設定させて)おけば問題ないのではないでしょうか。

アプリケーションを作られている方でも「問題でそうなケース」を考えてみては。

Comments

[coco144]

ありがとうございます。
自分では問題ないかな？と思っても自信がなかったため、回答いただけてありがたいです。
teratailもそうなのですね。確認してみます！
SQLインジェクション対策についても勉強してきます！

[m.ts10806]

「問題がでそうなケース」から考えてみると良いです。「自分が悪意あるユーザーならどう攻めるか」みたいな。
ただ、本当にやるならきちんとセキュリティのコンサルに入ってもらうべきですけどね。

Answer 3

ユーザーデータ取得のSQL文で、
SQLインジェクションの対策を施せば
GETのパラメータでユーザーIDを渡しても問題ないです

Comments

[coco144]

SQLインジェクション対策ですね！
改めて勉強が必要だなと思いました。教えて頂きありがとうございます！