Ber*_*own 15 html security hidden-fields
我和同事讨论过.我们必须实施一些安全标准.我们知道不会在隐藏字段中存储"敏感,地址,出生日期"信息,但通常可以为您的应用程序使用隐藏字段.
例如:
action=goback
对于那种信息使用隐藏字段而不是在查询字符串中添加它似乎更安全.这是黑客可以用来对您的应用程序使用的一小部分信息.
Nei*_*ken 20
通过使用拦截代理(或任意数量的工具),黑客可以像查询字符串值一样轻松地访问隐藏字段.
我不认为使用隐藏字段有任何问题,只要它们不用于任何敏感的东西,你就像对待客户端的任何其他值一样验证它们.
使字段"隐藏"几乎与安全性无关,应该被视为UI决策.无论如何,任何"黑客"都会阅读您的HTML源代码.
最好不要显示敏感信息,或者,如果必须,最好使用SSL(以防止网络中介拦截数据)和登录挑战的某种组合(以防止未经授权的访问).
| 归档时间： |
|
| 查看次数： |
21011 次 |
| 最近记录： |