Güvenlik Sorunu ( Dışarıdan Post )

<?
$mesaj = $_POST['mesaj2'];
mysql_connect("localhost","root","root");
mysql_select_db("text");
if ( empty($mesaj) ) {
echo "Bos";
}else{ mysql_query("insert into yazi set metin='$mesaj'"); }
}
?>

sitemden post edince çalışıyor.localden veya başka bir siteden bu php dosyasına post edincede çalışıyor. Bunu nasıl engelleyebilirim.

<?
$mesaj = $_POST['mesaj2'];
mysql_connect("localhost","root","root");
mysql_select_db("text");
if ( empty($mesaj) ) {
echo "Bos";
}else{
if($_SERVER["HTTP_REFERER"] = "http://dosyaadresi") {
mysql_query("insert into yazi set metin='$mesaj'");
} else {
echo "Hatali";
}
}
?>

denemedim ama çalışmalı.

Bartuc Verdiğin Örnek Bypass Edilebiliniyor register_globals On Olduğun'da
Wisec - The WIse SECurity


Bu Şekildede Bypass Edilebilinir > PHP Zone » How to bypass the REFERER security check



Neden Session Yada Cookie Kullanmıyorsun ? burcu2012

S4l1h'in dediği gibi session kullan, daha öncede dile getirdim.
https://www.r10.net/php/110449-dogrud...ml#post1242950

Alternatif;
-https://www.r10.net/php/109664-locald...ml#post1221149
-Güvenlik kodu da kullanabilirsin.

Bi çok yol vardır bunun için.session cookiee ama ben bunlardan farklı şeyler önereceğim.. Birincisi dosyaya direk erişimi yaşaklarsın ve sistem içinde postu çagırtırsın.. İkincisi hidden alanı oluşturursun ve bu kodu kontrol edersin ama bunuda dosyayo download eden birisi bulabilir ben kendimce geliştirdiğim bir sistemi sana söyleyeyim...

Şimdi form alanında kullanıcının ip si ve rastgele bir kod üretip bunu sql a işliyorum...

<input type=hidden name=gkodu value=<?=$gkodu=>>

Bu yolla kodumu postluyorum ve kabul sayfamda bunu kontrol ediyorum...Bunu tahmin etmek zor bi olaydır

register_globals niye on oluyo ki açıklara sebebiyet verdiğinden ötürü artık kullanılmayan bir özelik. Dediğim yok en rahatıdır. ama session da farklı bir çözüm.

veriyi flash'tan gönderiyorum html'den den değil.Bazı arkadaşlar hidden yap demişlerde. Session'dan anlamıyorum nasıl yapılacak

Eger uygun kontroller yapılırsa register_globalsden iyisi yok..post get kodlarından kurtarıyor çoq pratik kod yazılıyor..