Überprüfen, ob Form-Data von Server abgeschickt?

[Josh]

Hallo alle.

Gibt es eine sichere Möglichkeit, zu überprüfen, ob ein Formular wirklich von der Website www.xxx.ch versendet wurde, oder ob jemand den Code kopiert, verändert und lokal von seinem PC aus versendet hat? Reicht es da, wenn ich in PHP den HTTP_REFERER überprüfe?

Danke!

Josh

 

[Joel]

Den HTTP_REFERER kann man relativ einfach fälschen (Aber wer kommt schon auf die Idee .. ).

z.B. mit telnet, oder n'einfaches programm

.

telnet www.xxx.com 80 (return)
GET /index.php HTTP/1.0 (return)
Referer: http://www.xxx.com/ (return)
(return)

Aber ich würd das vielleicht allgemein so programmieren, dass es nicht schaden würde, wenn der HTML-Code lokal verändert wurde (Also wenns sicher sein soll .. dann solls auch immer noch sicher sein wenn der angreifer weiss wie das system funktioniert).