Witam,

Mam pewien kłopot z zastosowaniem tej technologii przy operacjach
wymagających bezpieczeństwa. Hipotetyczny przykład:

- mamy 2 tabele w bazie: grupy transakcji i transakcje
- wchodzimy na stronkę i dostajemy listing transakcji z określonej grupy
- Ajax ma za zadanie wyedytować jeden z rekordów transakcyjnych
- aby otworzyć edytor rekordu o ID 100 musimy przekazać np. POSTem z
poziomu Ajaxa, że operacja dotyczy ID 100

No i tu powstaje problem. Mianowicie ktoś może majstrować na poziomie
przeglądarki i spowodować, ze Ajax poprosi o ID 101. Pal sześć jeśli
jest to rekord należący do tej samej grupy transakcji. Ale w ten sposób
ktoś może się dostać do edycji rekordu z niedozwolonej grupy. Jak temu
przeciwdziałać? Przekazywać ID grupy transakcji? Bez sensu, bo i ten
numer można sfałszować łatwo w/w sposobem.