Java EE:防止应用程序URL黑客攻击

为什么只允许用户更改其个人资料,却在URL中提供id?我认为没有必要这样做。相反,从SecurityConext获取当前用户,并在没有id的URL上显示其配置文件。

根据你在评论中提供的新信息,我建议如下:

只需检查URL中给定的orderid是否属于当前用户。 您说您使用的是“普通的基于web的应用程序”,所以我假设是基于Servlet/jsp的。在servlet中,您可以执行以下操作:

int orderId = Integer.parseInt(request.getParameter("orderId"));
String username = request.getUserPrincipal().getName();
/*now you need to check if username match with the username of the order e.g. by using hibernate to get the order by id and check its user and if not throw PermissionDeniedException or similiar*/

95%的人同意Korgen的上述回答。 5%-如果您想允许管理员访问以使用相同的功能编辑用户配置文件,只需切换到UUID即可识别编辑的用户。