检查用户是否更改了数据

Question

当用户在我们的网站上注册时，我们会使用地址验证服务检查地址。如果找到输入的地址但有一些错误，此服务可以返回地址建议。该建议返回给用户。

用户可以接受建议并受到信任。如果他更改了地址，他就不受信任。

有没有什么好方法可以检查显示给用户的数据是否与他发布的数据相同？我想我需要一个带有地址数据哈希的隐藏字段。但我不确定我应该采用哪种算法。如果可能，算法应该不区分大小写。

算法应该创建一个防篡改的单向哈希。

编辑：

到目前为止，这工作得很好。我仍然需要使用变音符号 (ä,ü ) 进行测试。

                StringBuilder addressData = new StringBuilder();
            addressData.Append(FirstName);
            addressData.Append(LastName);
            addressData.Append(StreetNumber);
            addressData.Append(StreetName);               
            addressData.Append(City);
            addressData.Append(CountryISO);
            addressData.Append(Zip);
            string stringVal = addressData.ToString().ToLower();

            System.Text.ASCIIEncoding encoding = new System.Text.ASCIIEncoding();
            byte[] keyByte = encoding.GetBytes(ApplicationConfiguration.ShaKey);
            byte[] messageBytes = encoding.GetBytes(stringVal);

            HMACSHA256 hmacsha256 = new HMACSHA256(keyByte);
            byte[] hashmessage = hmacsha256.ComputeHash(messageBytes);
            string hash = ByteToString(hashmessage);

            return hash

Answer 1

使用HMAC (Hash-based Message Authentication Code)——HMAC 正是为此目的而发明的；使用对称密钥对数据进行身份验证。我自己对 .NET 并不熟悉，但标准库似乎提供了许多继承自 System.Security.Cryptography.HMAC 的此类类。 HMAC 比普通散列更好，因为它不易受到散列长度扩展攻击。

HMACSHA256 看起来是个不错的候选人。

如果您想防止重放攻击，您还应该考虑在字符串中添加unique value (a nonce) - 否则用户可以重新发送一封带有早期 HMAC 签名的早期电子邮件。

HMAC 密钥必须是服务器端密钥。

Answer 2

我喜欢你的想法。你将地址部分连接起来使其成为一个大字符串，并执行一个 GetHashCode 的 ToLower 版本的字符串。然后用同样的方法进行比较。

Answer 3

有什么好方法可以检查 向用户显示的数据是相同的 作为他发布的数据？

是的 - 您可以将发送给用户的数据存储在数据库中。

当用户提交表单时，将数据库中的数据与用户提供的数据进行比较。 您可以将数据转换为 CRC32 哈希，但如果您选择比较哈希字符串，请务必以相同的方式连接不同的数据对象。

编辑： 顺便说一句，我认为创建一个哈希字符串是没有用的，因为数据无论如何都存储在数据库中并且不会很长时间。

Answer 4

如果允许使用 JavaScript，也许你可以使用 jQuery change() 事件，并通过设置客户端隐藏值来检查这一点，以了解是否有变化：

当控件发生变化时触发 失去输入焦点及其值 获得焦点后已被修改。

$("input[type='text']").change( function() {
  //do something here, maybe set a hidden value
});

然后在你的控制器上你可以检查这个隐藏的值，或者你可以花点心思，用一些 ajax 立即检查这个值，但可能因为你的安全要求，这可能是有风险的。