cakephp3で認証ページの記事編集について

Question

ユーザ認証されたページの編集システムについての考え方について質問です。

ユーザIDとタイトル名や文章などが入っている記事一覧テーブルがあったとします。
そして、ログインユーザは自分の記事一覧しか編集できないようにします。

編集画面において、記事詳細画面へ記事IDをgetで送ってしまうと、URLの一部を自分の記事IDのものではないものに書き換えられた場合、その他のユーザの編集ができてしまうのでしょうか。もし、postで送りたい場合、記事一つにつき、formhelperで作っていき、その中のhiddenタグに記事IDを入れて送ればよいのでしょうか。

• getで送るメリット

どれくらい記事が今まで蓄積されたかがわかる。

• getで送るデメリット

他人の記事の編集をされてしまう？

• postで送るメリット

他人の記事の編集抑制

• postで送るデメリット

getに比べてコードが面倒？

ぐらいしか今は思いつかないのですが、その他にセキュリティ的な考え方や考えなければいけないことがあれば教えてください。

Answer 1

HTTPのメソッドの本来の定義を考えると、
GET：情報を取得する
POST：情報を送信する
となります。
自分は、サーバ側のデータを更新する必要がある場合はPOSTを使用し、一覧、詳細に拘わらず情報の取得を行う場合はGETを使用するというように区別しています。

Comments

[yajin]

なるほど。やはりcakephpでは、allowMethodがあるように、そこで判断すればいいわけですね。
勉強になりました。