接受来自远程表单的发布数据是否安全？答案

【问题标题】：Is it safe to accept post data from a remote form?接受来自远程表单的发布数据是否安全？
【发布时间】：2014-01-28 07:21:58
【问题描述】：

我目前正在构建一个项目，我希望用户能够在他们的网站上自己创建表单（不使用我们的任何工具），并在表单中放置一些隐藏变量，这些变量有他们的帐号或一些独特的标识符，然后将其表单上的操作更改为我们网站的表单处理链接。

我想知道的是，它是否安全，或者，它是否会导致从某个随机站点接受发布数据时出现问题。

我在想我们会有一个名为“account”的隐藏字段，当页面收到帖子时，它会首先检查是否设置了“account”。然后如果它被设置，它会检查该值是否是我们的真实客户。然后，它会清理帖子数据并将其输入到我们的潜在客户捕获数据库中。

我知道像 zoho 这样的地方提供可以复制和粘贴的表单，然后当它们被提交时，zoho 会将所有信息输入到他们的系统中。

如果我要以一种糟糕的方式解决这个问题，关于实现远程表单发布到我们的 SAAS 应用程序的最佳/好方法的建议会很有帮助。

谢谢！

【问题讨论】：

【解决方案1】：

这就像在您自己的网站上拥有一个表格一样安全。客户端对象很容易被操纵，因此即使您的网站上有一个具有字符限制的表单（例如），也可以对其进行修改。

关键是让您的验证正确的服务器端。

【讨论】：

+1 正是我要说的。无论如何，您永远不知道表单提交的真正来源，即使是在您自己的网站上（您可以检查HTTP_REFERER，但这与表单的其余部分一样容易伪造）
更基本的：HTML 表单只是一个方便的用户界面，用于创建带有任意数据的 HTTP 请求。这样的 HTTP 请求可以随时随地来自任何地方，不需要任何形式。
是的，我就是这么想的，我很高兴你们有类似的想法。当我这样做时，我会做好一些卫生工作并采取适当的安全措施。我只想将他们的潜在客户表单捕获到我们的 CRM 中，而不必手动输入。

【解决方案2】：

无论数据来自何处（您自己的网站或其他客户端），您都必须对其进行过滤/验证。只是我的 2 美分。

【讨论】：