ajax - 在 Coldfusion 中保护远程 CFC

Question

我在查找有关在 Coldfusion CFC 上为 AJAX 调用保护远程功能的信息时遇到了很多麻烦。假设您在用户通过 AJAX 调用登录站点后检索用户的敏感信息。你这样称呼:

https://www.mySite.com/pathToCFC/MyCFC.cfc?method=getBankInfo&userID=2343

所以这显然是非常不安全的，因为任何人都可以从浏览器调用它并更改用户 ID 以获取不同用户的银行信息。

我已经阅读了有关在远程函数上使用角色属性并使用 cflogin 对用户进行身份验证的信息，但即使使用此功能，您是否也不必像上述调用一样传递用户 ID？经过身份验证的用户是否仍然能够切换用户 ID 以发现新用户的银行信息？

Answer 1

不要从客户端传递用户 ID。用户 ID 和其他敏感数据应存储在服务器端。事实上，从客户端传递的每一位数据都必须被认为是可疑的，并经过验证。

因此，例如，如果您使用 cflogin，并且您在单个服务器或粘性 session 服务器上，则将用户 ID 和任何其他关键信息存储在 session 范围内。

在每个请求中，您从 session 中获取这些数据，而不是从客户端提供的数据中获取。

这是 User Security in Coldfusion 的一个很好的起点