代码之家 › 专栏 › 技术社区 › Andy Verbunt

如何防止Spring JPA+Spring REST+jHipster中的恶意输入

spring-rest jhipster spring-data jpa spring

Andy Verbunt · 技术社区 · 9 年前

我是Spring JPA/jHipster的新手。我的问题灵感来自朱利安·杜波依斯的jHipster演讲: https://youtu.be/R3jm2qmqctI?t=43m7s

假设你有一个银行账户,上面有操作(餐厅+100美元,自动取款机-50美元,…) 当然,每个银行账户都有一个所有者。

创建操作的POST REST调用的负载可能如下所示: {“amount”:100,“description”:“restaurant”,“bankaccount”:{“id”:1136}}

银行账户的id是唯一的,(为了这个示例)可能会通过另一个REST调用发送给我。

不幸的是,没有什么可以阻止恶意用户更改此值。人们可以简单地猜测他人拥有的银行账户的id,然后将操作添加到该账户。

我还没有看到处理这个问题的例子。
我是否应该明确检查银行帐户是否为用户所有? 我想,这种类型的验证可能会在您的所有实体中级联,导致大量额外的调用。也许我错过了什么?

谢谢安迪

1 回复 | 直到 9 年前

Gaël Marziou 9 年前

是的,您有责任在REST控制器或基础服务中检查操作是否被授权。弹簧安全提供d ifferent mechanisms to do it 特别是通过使用@PreAuthorize和@PostFilter。

使用DTO也是一件好事,这样您可以更好地控制实体的哪些字段通过API进行读写。

推荐文章

Mike · 如何关联Jhipster JDL中的两个实体?

7 年前

Rohr Facu · 错误发生意外错误:“未找到命令”e2e“

7 年前

Amit · JHipster:为什么要为--skip client标志生成node\u模块和其他前端文件?

7 年前

Viktor Reinok · JHipster社交登录中的redirect\u url不正确

7 年前

Fish-Guts · ElasticSearch中的分析异常

7 年前

Lance · 何时在Angular+Java项目中使用DTO和Matpstruct

7 年前

Nin Jah · 从自定义共享模块角度5渲染子组件

7 年前

Andre Debuisne · Google angular地图-拖动地图时鼠标不释放

7 年前

user8826568 · 未经授权获取401:身份验证失败:无法在okta web app中获取访问令牌

7 年前

BullyWiiPlaza · 从IntelliJ的sprint引导运行配置运行整个JHipster生成的web应用程序

7 年前