Grails 防止 HTML 修改

Question

基于此示例，我正在寻找一种防止 HTML 表单用户修改的方法:

“用户”实体有一个枚举角色(用户、管理员等)，并且有一个 UserController 显示一个 g:form 用于第一个、最后一个和电子邮件。 Controller 的操作是 user.properties = params。

如何，用户可以使用 Firebug 或 Chrome Webdeveloper 修改 HTML 表单并将文本字段 firstname 重命名为角色并输入“Administrator”并将被授予管理员权限。

有 useToken="true"和 withForm-closure，但这似乎只是防止用户重复提交相同的表单。除此之外，它还适用于 session ，因此它不能真正在多个服务器上进行扩展。

我正在使用 Grails 2.3.6。除了不使用 xxx.properties = params 之外，有没有办法防止此类事情发生？

Answer 1

您可以提供允许的属性列表。对于您的示例:

user.properties['first', 'last', 'email'] = params

为了安全起见，您应该始终提供列表。在 grails 文档中搜索“数据绑定(bind)和安全问题”。