java - Java Web 应用程序中的不安全对象引用

Question

我正在用 java 创建一个 Web 应用程序。它处理应用程序中建模的多个业务对象。每个对象在数据库中都有与其关联的表。我想显示特定对象的详细信息，例如。学生到用户。为此，我向服务器发出 ajax 请求并将 UserId 作为输入参数传递。伪代码如下所示:

1) Get StudentId from request.
2) Fetch Student details from db for given studentId
3) Send the student data as response to the user

我想要的是，不得使用 StudentId，而是可以使用随机数或其他任何东西，可以将其映射到服务器端的学生 ID，从而获取学生详细信息并将其发送到客户端。我希望这样，即使 StudentId 被用户修改/修改，作为查询字符串的一部分，用户也不会获得任何其他学生数据，因此会显示错误消息。

Answer 1

一次性解决方案是使用 owasp esapi 访问引用图，您一定会喜欢它:)

https://owasp-esapi-java.googlecode.com/svn/trunk_doc/latest/org/owasp/esapi/AccessReferenceMap.html