javascript - 只读可通过插入的 JavaScript 进行编辑的文本字段？

Question

我有一个带有只读字段的表单，用于显示/提交到下一页。

但是，我注意到使用 Chrome 中的开发人员工具，我能够向元素添加 ID，使用 JavaScript 控制台选择该元素，并更改其值。我提交了表单，你知道什么 - 下一页对其进行操作，就好像它是原始值一样。

现在，使用我正在构建的网站的人应该不会有任何问题，但对我来说这似乎是一个巨大的安全缺陷。只读的目的不就是保持不变吗？如果一个精明的用户去改变它，这不是一个大问题吗？事实上，我什至不认为你可以在 chrome 中添加和更改属性。

请在下面发表您的想法，并让我知道是否有解决方案(“禁用”文本字段，但设置禁用属性不会将数据发送到下一页)。

Answer 1

绝不信任来自网络表单的输入。

用户可以同样轻松地删除readonly 属性并编辑值。 readonly 属性只是在填写表单时帮助用户，因此他们不会编辑期望更改的值，而您的服务器实际上不会让它改变吧。因此，请始终记住首先在服务器上对行为进行编码，并让 HTML 表单成为用户的有用指南，使表单更易于填写(无需多次提交表单来获取相关错误消息)。

为了克服这个问题，如果某些内容是只读并且您不希望对其进行编辑，则可以将该值存储在数据库中。此外，应始终检查(和清理)用户提供的值，因为任何 JavaScript、HTML 或 CSS 都不会阻止知道自己在做什么的人添加新的或更改/删除现有的值(value)观。