技术用户打破JSP页面的安全性

Question

我在JSP页面中实现了字段库安全性。

如果该字段只读给用户，我把属性readonly =“true”;

但是，有些用户是技术性的，他们知道Firefox或相关工具中的firebug，使用这些工具，他们从dom中删除只读属性并更改字段的值。

我该如何控制它？或任何其他机制？

Answer 1

对于用户修改您提供的文档，您无法做任何事情。您发送给客户的任何内容都在他们的控制之下，并且不受您的控制。

但只有一些技巧，你可以做，以避免或检测这些参数篡改：

• 避免：您对现有的客户端的参数少，越少的参数可以被篡改。如果您不想要更改某个参数（可能是任何隐藏的表单域），请不要将其发送给客户端，而是将其保留在服务器端。您可以将这些参数存储在客户端会话中的某种容器中，并将其与当前表单关联。然后发送给客户端的唯一信息是引用服务器端存储参数的容器的随机标识符。
• 检测：您可以使用加密散列函数，如MAC来验证客户端返回的数据与发送给它的数据是否相同。但请注意，这仍然允许replay attacks。