Quiero saber si mi aplicación web corre algún riesgo, ya que estoy haciendo que todas las verificaciones de "permisos" dependan del valor de su $_SESSION[];
En mi caso, uso: $_SESSION['username']
, que contiene el nombre de usuario de la persona, y si por ejemplo, va a editar o eliminar algo, compruebo que sea de él mediante la comparación de este valor en la sesión y en la base de datos.
¿Está bien hecho? Un ejemplo de un caso donde uso esto para verificar si se puede editar o no, donde $user
es $_SESSION['username']
y $urlID
es un $_GET que contiene el ID único del objeto a editar, el cual está totalmente validado contra inyecciones.
$reg = mysqli_query($conn,
"SELECT urlID, user FROM draws WHERE `urlID`='$urlID' AND `user`='$user'")
Si me devuelve algún resultado (urlID es un valor único que representa el objeto que se va a editar), la página de edición carga, si no, no.