Seguridad en cuanto a $_REQUEST

[razer]

Hola, hago una pregunta.

Estoy haciendo un control panel de admin y quiero aplicar seguridad en el mismo. La idea es que tengo un form, y el .php del action lo que hace es identificar los $_REQUEST de los datos llenados o marcados, y si esta seteado el $_REQUEST hace cambios.

Es decir

if(isset($_REQUEST['algo']))
{
//hacer cambios
}
else
{
//no hacer cambios
}

Mi pregunta es si el $_REQUEST es lo suficientemente seguro como para confiar en él. Es decir, se puede setear un $_REQUEST sin haber llenado el form ? Alguien podria setearlo de alguna manera con el fin de hackear la página ? porque de ser asi entraria al if y haria los cambios.

Quizá existe algo más seguro que $_REQUEST y aún no lo conozco.
Espero que se entienda mi duda.
Slds.

[GatorV]

Así es $_REQUEST se puede cargar desde GET o desde POST, por lo que si quieres 'asegurarte' que viene de un formulario debes de usar $_POST, aunque no es complicado de falsear un POST, es mejor que uses seguridad del lado del servidor con una sesión para capturar los valores.

Saludos.

[razer]

Osea que usar $_REQUEST o $_POST es lo mismo.
Y con una sesion del lado del server como podria ser? digo.... por ejemplo como?

Yo actualmente estoy usando una cookie que contiene como dato un valor de un registro de sql, por lo tanto no me hizo falta usar sesiones.
Pero en el caso del admincp, por un tema de seguridad no quize generar cookies, aunque quizas haciendola existir por poco tiempo seria mas seguro, no?

Digo, hago una cookie con valor de registro para que no me haga falta usar sesiones, y valido que la cookie exista. Y si existe haria el REQUEST. Asi seria mas seguro cierto?

[JaimeSavines]

creo que esta liga te puede servir para lo que necesitas http://www.phpsec.org/

Saludos