java - 如何防止有人从 JSP/Servlet 中的浏览器修改输入表单参数

Question

考虑如下场景:

我有一个 HTML 表单。

<input type="radio" name="radioButton" value="1" >Radio One<br>
<input type="radio" name="radioButton" value="2"> Radio Two

我正在读取用户在我的 servlet 之一中提供的输入:

int radioype = Integer.parseInt(request.getParameter("radioButton"));

现在我不需要空检查，因为我知道这个值不会为空。该值可以是 1 或 2，因此它将被成功解析为 int。但是任何人都可以将 radioButton 的值(例如通过使用 FireBug)更改为其他值。这会给我的应用带来很多麻烦。

处理这种情况的最佳方法是什么？我的应用程序中有很多这样的输入，包括文本框、下拉菜单、文本区域等。我同意我必须自己验证文本框。但这些复选框和单选按钮似乎过于验证。

Answer 1

您已经确定了真正的问题 - 用户可以使用 Firebug 之类的东西发送回他们喜欢的任何内容，包括这些参数的 null 。无法回避的事实是您需要验证来自浏览器表单的所有内容。否则会使您的应用程序不安全并容易受到黑客攻击。

我建议使用众多可用的 Java Web 框架之一，这使得在应用程序中创建验证层相对容易(例如:Spring-MVC 或 Struts 2)。