如何限制用戶在Java應用程序中編輯URL數據並訪問URL

Question

我正在開發在html5和dojo中具有前端的Java應用程序。 我正在使用SOAP和REST服務進行服務調用以從下游系統獲取數據。 我發現該應用程序存在潛在威脅。 用戶可以訪問應用程序的URL，並且可以編輯URL。例如，如果用戶正在查看其個人資料，並且如果他知道其他用戶的名稱，則可以編輯URL來從其名稱更改用戶名改為其他名稱，並且可以更改其他一些字段並點擊url。 同樣，用戶可以編輯一些敏感數據並訪問機密信息。

我的問題是如何防止用戶編輯應用程序URL中的參數？

Answer 1

用戶選擇訪問的URL是客戶端，不一定可以控制。 任何人都可以輕松打開一個新標簽頁並輸入所需的URL。

相反，我建議使用某種服務器端安全框架來保護REST端點。 如果您在服務器端使用Java，則可以考慮使用http://shiro.apache.org/這樣的安全性，該安全性不允許任何用戶訪問他們不應該訪問的數據。

另一個解決方案是僅具有一個REST端點，該端點可以訪問用戶會話當前引用的任何配置文件。