Marek <p...@s...com> napisał(a)
> Chociaż może masz rację... i da się to jakoś połączyć ze sobą.

Jedną z zasad pisania bezpiecznych serwisów webowych jest "nie ufaj temu
co przychodzi z przeglądarki". Czyli jeśli przychodzi request "pokaż
rekord id=101", to sprawdzasz, czy ten kto wysłał to zapytanie ma prawo
do rekordu 101, choćby z logiki aplikacji wynikało, że odpowiedni link
wyświetla się tylko uprawnionym uzytkownikom. Na każdym kroku
zakłądasz, że ktos mógł podmenić nr sesji, zawartośc cookie, parametry
itp.

--
Tomek