所以有时当我从一个页面传递到另一个页面时，如果我想将变量传递到表单操作中，我会简单地将其存储在<input type="hidden">元素中。这通常效果很好，但我意识到有人可以轻松进入 HTML 标记并简单地更改hidden键入文本，因此他们可以轻松编辑正在传递的内容（如果说他们正在编辑自己的配置文件并且我已经存储在隐藏的输入字段中，这可能会很糟糕他们的 ProfileID 并且他们将其更改为其他人的）
我想知道是否有解决此问题的最佳实践？我和一些同事谈过，他们说在提交表格时要对服务器进行检查，以确保他们没有传递不正确的信息。是最好的方法还是有其他方法？
在安全方面，您不能信任来自客户端的任何信息，正如您正确指出的那样。这意味着在调用此类页面时，您必须将其存储在服务器端。
一种常见的做法是在 Cookie 中为每个客户端提供一个会话标识符，在服务器端，您可以将所有敏感信息与该会话标识符相关联。会话标识符应该是随机的，因为如果它是顺序的，您可以更改其值并随机劫持其他人的会话。
有多种方法可以存储与会话标识符有关的信息。PHP 中最灵活的一种，也可能是最容易实现的，是使用内置的会话支持。PHP 为您处理会话标识符，并允许您将任何可序列化的对象存储在$_SESSION超全局中。这是一个不错的解决方案，因为会话数据通常存储在服务器的临时文件夹中，如果它是共享服务器，那么该服务器上的其他网站理论上可能会窥探并查看甚至操纵会话数据。当然，如果你正在做的事情影响真的很小，那么不太可能有人会为了惹你而租用同一台服务器。不过，例如，OAuth 提供程序建议您不要将 OAuth 令牌存储在公共环境中的$_SESSION存储中。
<?php
session_start();
// place anything you need to save between pages in $_SESSION
$_SESSION["foo"] = array("bar", "baz");
// until you unset $_SESSION["foo"], it will be available in every page that called
// session_start().
?>
用户注销时调用session_destroy，以确保其会话数据存在的时间不会超过需要的时间。
另一方面，您也可以将信息存储在数据库中，例如 MySQL。这在安全性方面更好，因为您应该逃离没有不同数据库用户或每个服务器用户的不同数据库的任何主机，并且您可以放心，没有其他人能够更改（甚至只是看到）会话信息。但是，这并不那么灵活，因为您需要一个表结构来存储要存储的任何内容。