使用FireBug等简单工具,任何人都可以在客户端更改
javascript参数.如果有人花时间研究您的应用程序一段时间,他们可以学习如何更改JS参数,从而导致您的网站遭到黑客攻击.
例如,一个简单的用户可以删除他们看到但不允许更改的实体.我知道一个好的开发人员必须检查服务器端的一切,但这意味着更多的开销,您必须首先从数据库中的数据进行检查,以验证该请求.这需要大量的时间,因为每个人都必须验证它,只能通过从DB获取所需的数据来做到这一点.
在这种情况下,你会怎么做最小化黑客？
一个更简单的验证方法是为每个javascript函数添加另一个参数,此参数必须是先前参数和密钥之间的签名.
你的声音有多好？
我们的团队使用teamworkpm.net来组织我们的工作.我刚刚发现我可以通过改变一个javascript函数(最初编辑我自己的任务)编辑别人的任务.
