如何防止某人从JSP / Servlet中的浏览器修改输入表单参数

Question

请考虑以下情形：

我有一个HTML表单。

<input type="radio" name="radioButton" value="1" >Radio One<br>
<input type="radio" name="radioButton" value="2"> Radio Two

我正在读取用户在我的servlet之一中提供的输入：

int radioype = Integer.parseInt(request.getParameter("radioButton"));

现在，我不需要进行空检查，因为我知道该值不会为空。 该值可以是1或2，因此它将被成功解析为int。 但是，任何主体都可以将radioButton的值更改为其他值（例如，通过使用FireBug）。 这将给我的应用程序带来很多麻烦。

处理这种情况的最佳方法是什么？ 我的应用程序中有很多这样的输入，包括文本框，下拉菜单，文本区域等。我同意我必须自己验证文本框。 但是这些复选框和单选按钮似乎过于验证。

Answer 1

您已经确定了真正的问题-用户可以使用Firebug之类的东西来发回他们喜欢的任何东西，包括这些参数的null。 事实是，您需要验证来自浏览器表单的所有内容。 否则会导致您的应用程序不安全并且容易被黑客入侵。

我建议使用许多可用的Java Web框架之一，这使在您的应用程序中创建验证层相对容易（例如：Spring-MVC或Struts 2）。

Answer 2

我认为没有简单的方法可以解决此问题。 您根本无法阻止想要更改请求值的人这样做，因此您必须在代码中对其进行验证。 也许您可以做的最好的事情就是实现您可以使用的最通用的验证层，因此您可以轻松地将其应用于所有现有代码，而无需进行大的更改。

另一方面，例如，如果您有一个带有值M和F的性别单选按钮，则如果有人在其中提交J ，则可以给他们一个处理得很好的异常消息是完全可以的。

Answer 3

从客户端到服务器的任何事情都不在您的控制和观察之下。 因此，您需要在后端实施所有验证方法。

后端验证是必须的，不是选择。 我见过很多依赖客户端输入验证的人，并且遇到了很大的麻烦。 阅读有关SQL注入的示例。

一个非常基本的后端验证过程涵盖了客户端中的所有检查，尽管其中大多数检查涵盖了更多情况。 您可以概括检查并相应地标记输入，以免一一遍历所有输入。

有关更多信息，请参见以下关键字：java，jsp，后端，验证，表单，输入