• Mettre une condition sur le statut de l'utilisateur courant. Il faut qu'il soit administrateur pour accéder à la page.
  
• Utiliser un jeton de sécurité dans ta page de suppression d'un utilisateur.
  

<?php

$token = md5(uniqid(mt_rand(), true))

$_SESSION['token'] = $token

?>



<ul>

<?php foreach($users as $user): ?>

  <li><a href="<?php echo "delete_user.php?id={$user->id}&token={$token}"; ?>">

    Supprimer <?php echo $user->name; ?>

  </a></li>

<?php endforeach; ?>

</ul>

<?php

if(isset($_GET['token'])){

  if($_GET['token'] == $_SESSION['token']){

    /**

     * Le token transmis est identique à celui écrit en session.

     * On peut effacer l'utilisateur.

     */

  }

  else {

  /**

   * Le token transmis est différent de celui écrit en session. Il y a

   * tentative de hack : le pirate n'est pas passé par la page qui liste

   * les utilisateurs.

   */  

  }

}

else {

  /**

   * Le token n'est pas transmis. Il y a une tentative de hack

   * puisque la personne n'est pas passée par la page qui liste

   * les utilisateurs.

   */

}