html - 如何检测隐藏字段篡改？

Question

在我的网络应用程序表单中，我有一个隐藏字段，出于安全原因，我需要保护它不被篡改。我正在尝试提出一个解决方案，借此我可以检测隐藏字段的值是否已更改，并做出适当的 react (即使用通用的“出现问题，请重试”错误消息)。解决方案应该足够安全，暴力攻击是不可行的。我有一个我认为可行的基本解决方案，但我不是安全专家，我可能在这里完全遗漏了一些东西。

我的想法是呈现两个隐藏的输入:一个名为“important_value”，包含我需要保护的值，另一个名为“important_value_hash”，包含重要值的 SHA 散列与一个常量长随机字符串(即每次都会使用相同的字符串)。当提交表单时，服务器将重新计算 SHA 哈希，并与提交的 important_value_hash 值进行比较。如果它们不相同，则 important_value 已被篡改。

我还可以将其他值与 SHA 的输入字符串(也许是用户的 IP 地址？)连接起来，但我不知道这是否真的对我有任何帮助。

这会安全吗？任何人都知道它是如何被破坏的，以及可以/应该做什么来改进它？

谢谢!

Answer 1

最好将哈希存储在服务器端。 可以想象，攻击者可以更改该值并生成他/她自己的 SHA-1 哈希并添加随机字符串(他们可以通过重复访问页面轻松计算出这一点)。 如果哈希是在服务器端(可能在某种缓存中)，您可以重新计算哈希并检查它以确保该值未以任何方式被篡改。

编辑

我读错了关于随机字符串(常量盐)的问题。但我想原来的观点仍然成立。攻击者可以构建与隐藏值对应的哈希值列表。