1、我们来看下常见的做法：//开始更新数据，即修改用户名 $query = "UPDATE users SET user_name = '$clean_username' WHERE user_id = '$clean_user_id'"; //由于where后面的数据是由用户控制的，所以用户可以随意修改id这种通过$_post获取ID和数据库对比的方式很容易被抓包。
2、修复方法，通过seseion来畛粳棠奈获取id，不用$_post.$query = "UPDATE users SET user_name = '$clean_username' WHERE user_id = '$_SESSION['user_id']'";不从用户那里接收id这个参数，而是从session中直接提取。
3、这样就起到了防止越权的目的