こんにちは。ローカルに保存しているhtmlにフォームを配置しある値を格納した後、そのデータをサーバー上にPOSTするとエラーにならずサーバー側で処理を行ってしまいます。これをさせないようにするにはどのようにしたらよいか教えてください。環境はRedhatLinux7.2+apache1.3.26+php4.2.2です。例として、サーバとは違うPCのローカルに置いたHTMLファイルの内容は以下のようにします。そしてサーバにあるtest.phpの内容は以下のようにします。このローカルのhtml内のテキストボックスに何か入力して送信ボタンを押すとtest.phpでその内容が表示されてしまうのです。これを防ぐ方法を探しています。つまり同じサイト内(http://www.hogehoge.com/にあるファイル)からのPOSTしか受け付けないようにしたいのです。ちなみにregister_globalはOnにしてありますがOffにしても変数を$_POST["test"]にすると表示されます。よろしくお願い致します。

> apache側の設定で拒否する方法とかはないでしょうか? 試してないけど、こんな感じでできるかも。 SetEnvIf Referer www\.hogehoge\.com valid_referer Order Deny,Allow Deny from all Allow from env=valid_referer

あの・・・基本的にＨＴＭＬというのはローカルで動いているんです。サーバー上にあるＨＴＭＬをＨＴＴＰでローカルに転送し、一時領域に取り込んでブラウザで表示しているんです。とフルパスで書いてある以上、POSTが成功するのは当然です。相対パスで記述すればＯＫなのではないでしょうか？？？

ローカルにあるhtmlのフォームからのデータ取得について

解決済

質問者：kkk194
質問日時：2002/10/30 14:39
回答数：4件

こんにちは。

ローカルに保存しているhtmlにフォームを配置しある値を格納した後、そのデータをサーバー上にPOSTするとエラーにならずサーバー側で処理を行ってしまいます。
これをさせないようにするにはどのようにしたらよいか教えてください。

環境はRedhatLinux7.2+apache1.3.26+php4.2.2です。
例として、サーバとは違うPCのローカルに置いたHTMLファイルの内容は以下のようにします。

<HTML>
<HEAD>
<META http-equiv="Content-Type" content="text/html; charset=EUC-JP">
<TITLE></TITLE>
</HEAD>
<BODY>
<FORM action="http://www.hogehoge.com/test.php" method="post">
<INPUT size="20" type="text" name="test">
<INPUT type="submit" name="submit" value="送信"></FORM>
</BODY>
</HTML>

そしてサーバにあるtest.phpの内容は以下のようにします。

<HTML>
<HEAD>
<META http-equiv="Content-Type" content="text/html; charset=EUC-JP">
<TITLE></TITLE>
</HEAD>
<BODY>
<?

print $test;

?>
</BODY>
</HTML>

このローカルのhtml内のテキストボックスに何か入力して送信ボタンを押すとtest.phpでその内容が表示されてしまうのです。これを防ぐ方法を探しています。
つまり同じサイト内(http://www.hogehoge.com/にあるファイル)からのPOSTしか受け付けないようにしたいのです。
ちなみにregister_globalはOnにしてありますがOffにしても変数を$_POST["test"]にすると表示されます。

よろしくお願い致します。

通報する

この質問への回答は締め切られました。

質問の本文を隠す

回答 (4件)

ベストアンサー優先
最新から表示
回答順に表示

No.2ベストアンサー

回答者： a-kuma
回答日時：2002/10/30 15:09

test.php で、HTTP_REFERER が

http://www.hogehoge.com/～であることを
チェックして、そうじゃなければ、処理をせずに抜けちゃう、もしくは、エラーページに飛ばす。

- 0
- 件

通報する

この回答へのお礼

ありがとうございます。

やはり$_SERVER['HTTP_REFERER']をチェックする方法しかないのでしょうか。
なるべくグローバルな設定で切り抜けられないかと思ったのですが・・・。

apache側の設定で拒否する方法とかはないでしょうか?

通報する

お礼日時：2002/10/30 15:54

No.4

回答者： a-kuma
回答日時：2002/10/30 17:05

> apache側の設定で拒否する方法とかはないでしょうか?

試してないけど、こんな感じでできるかも。

SetEnvIf Referer www\.hogehoge\.com valid_referer
<Directory /～>
　Order Deny,Allow
　Deny from all
　Allow from env=valid_referer
</Directory>

- 0
- 件

通報する

No.3

回答者： kagep
回答日時：2002/10/30 15:54

なるほど、そこまで深い実情だったんですね。

私も＃２の方と同じ解決法を取ると思います。

- 0
- 件

通報する

No.1

回答者： kagep
回答日時：2002/10/30 15:08

あの・・・

基本的にＨＴＭＬというのはローカルで動いているんです。
サーバー上にあるＨＴＭＬをＨＴＴＰでローカルに転送し、
一時領域に取り込んでブラウザで表示しているんです。

<FORM action="http://www.hogehoge.com/test.php" method="post">
とフルパスで書いてある以上、POSTが成功するのは当然です。
相対パスで記述すればＯＫなのではないでしょうか？？？

この回答への補足

ありがとうございます。

いくら相対パスで記述していても、フォームのあるページをユーザがダウンロードしてactionのところを目的URLに変えて自分のPCなどで保存してPOSTすれば処理されてしまいますよね?
それをされたくないので質問をさせていただいたのです。

あいまいな質問ですいませんでした。

補足日時：2002/10/30 15:32

通報する