asp.net - 依靠网页中的隐藏字段编辑数据库记录有哪些安全风险？

Question

我目前正在使用 ADO.NET Entity Framework 在 ASP.NET MVC 中构建一个非常小/简单的 Web 应用程序。我在数据库中编辑一条记录时碰壁了，我必须在 html 中包含唯一 id(主键)作为隐藏字段。这是One Possible Solution基于我在这里问的一个问题。

我担心这可能会打开我的数据库供其他人编辑该表的其他记录。

MVC 会在内部处理此安全风险吗？

Answer 1

无论您使用哪种服务器端技术，ID 的篡改都可能发生在客户端。正如其他人所建议的，可以使用某种形式的身份验证/授权方案来在用户操作之前检查权限。

如果您不将 ID 转发回服务器以供您的操作使用，您将无法将用户操作与服务器代码联系起来。