Ratgeber: Bei zwei Absendeaktionen den tatsächlich ausgelösten Button erkennen

Speichern ist nicht Veröffentlichen

Ein Formular bietet Entwurf speichern und Veröffentlichen. Beide Knöpfe können denselben Absendeablauf erreichen, sollen aber unterschiedliche Absichten übermitteln. MDN beschreibt mit SubmitEvent.submitter eine Möglichkeit, das auslösende Element im Submit-Ereignis zu erkennen. Dabei kann der Wert auch fehlen. Eine sichere Umsetzung darf deshalb nicht einfach jeden unbekannten Auslöser als Veröffentlichung behandeln.

Die Standardaktion zuerst bestimmen

Lege vor der Programmierung fest, was bei einem gewöhnlichen Enter im Formular passieren soll. Für einen Redaktionsentwurf kann ein bewusst sicheres Speichern sinnvoll sein. Eine Veröffentlichung benötigt außerdem die zugehörigen Rechte und einen klaren Inhaltsstand. Notiere beide Aktionen in einem kurzen Ablaufplan. Ein farbiger Knopf oder eine andere Position im Layout ist kein serverseitiger Berechtigungsnachweis. Die fachliche Absicht muss im tatsächlichen Auftrag eindeutig transportiert und geprüft werden.

Fehlenden Auslöser als eigenen Fall behandeln

Prüfe im Frontend, welches Element den Vorgang ausgelöst hat, und behandle einen fehlenden Wert ausdrücklich. Verlange im Backend eine erlaubte konkrete Aktion sowie die passenden Objektberechtigungen. Ein manipulierter Request darf durch eine frei gewählte Aktionsbezeichnung keine Freigaberechte erhalten. Verhindere ebenfalls, dass zwei schnelle Klicks denselben Beitrag zweimal erzeugen. Die Ergebnisanzeige soll erst nach bestätigter Speicherung erscheinen und den tatsächlich erreichten Zustand nennen.

Drei Abnahmen durchführen

Teste beide Knöpfe einzeln und anschließend eine Übermittlung ohne den erwarteten Buttonauslöser. Kontrolliere jeweils den gespeicherten Entwurfs- und Veröffentlichungsstand. Wiederhole einen Fall mit einem Konto, das nur Entwürfe bearbeiten darf. Die Veröffentlichung muss auch dann abgewiesen werden, wenn die Oberfläche verändert oder der Request direkt gesendet wird. Die MDN-Eigenschaft erklärt einen Teil der Browserseite, nicht die gesamte Sicherheitsregel. Ein gelungenes Ergebnis verbindet den sichtbaren Bedienwunsch mit einer serverseitig geprüften Handlung und einer ehrlichen Rückmeldung über deren Ausgang.

Prüfe den Ablauf zusätzlich mit einer unmittelbar aufeinanderfolgenden Bedienung beider Schaltflächen. Der angezeigte Erfolg muss zum tatsächlich verarbeiteten Auftrag gehören. Ein älterer Speicherhinweis darf eine spätere fehlgeschlagene Veröffentlichung nicht als erledigt erscheinen lassen. Die beiden Aktionen benötigen klar erkennbare Ergebnisse.