java - 技术用户破坏 JSP 页面的安全性

Question

我已经在 J​​SP 页面中实现了基于字段的安全性。

如果该字段对用户是只读的，我将属性readonly="true" ;

但是有些用户是技术人员，他们知道Firefox中的firebug或相关工具，使用这些工具，他们从dom中删除只读属性并更改字段的值。

我该如何控制这个？或任何其他机制？

Answer 1

您不能对用户修改您提供的文档做任何事情。您发送给客户的任何内容都在他们的控制之下，不在您的控制之下。

但是只有一些技术可以避免或检测此类参数篡改：

• 避免：您向客户端提供的可用参数越少，可以篡改的参数就越少。如果您不希望更改某个参数（可能是任何隐藏的表单字段），请不要将其发送到客户端，而是将其保留在服务器端。您可以将这些参数存储在客户端会话内的某种容器中，并将其与当前表单相关联。然后发送到客户端的唯一信息是容器的随机标识符，该标识符引用服务器端存储的参数。
• 检测：您可以使用MAC等加密哈希函数来验证客户端返回的数据与发送给它的数据是否相同。但请注意，这仍然允许重放攻击。