技术用户破坏 JSP 页面的安全性

Question

我已经在 J​​SP 页面中实现了基于字段的安全性。

如果该字段对用户是只读的，我把属性 readonly="true" ;

但是有些用户是技术人员，他们知道Firefox中的firebug或相关工具，使用这些工具，他们从dom中删除只读属性并更改字段的值。

我该如何控制呢？或任何其他机制？

Answer 1

您不能对用户修改您提供的文档采取任何措施。您发送给客户的任何内容都在他们的控制之下，不在您的控制范围内。

但您只能采取一些技术来避免或检测此类参数篡改：

• 避免：您向客户端提供的可用参数越少，可以篡改的参数就越少。如果您不想更改某个参数（可能是任何隐藏的表单字段），请不要将其发送到客户端，而是将其保留在服务器端。您可以将这些参数存储在客户端会话内的某种容器中，并将其与当前表单相关联。然后发送给客户端的唯一信息是容器的随机标识符，该标识符引用服务器端存储的参数。
• 检测：您可以使用像MAC 这样的加密哈希函数来验证客户端返回的数据是否与发送给它的数据相同。但请注意，这仍然允许replay attacks。