访问修改安全问题

Question

若查询的url如 xxx.action?uid=12  或者链接为 <a href="xxx.action?uid=12">查询</a>
这样用户很容易就能看出来查询id为12的用户信息，若用户修改这个12为其他的ID，如1 ，那岂不是也可以查看ID为1的用户信息了？这是查询，问题不算太严重，如果是update呢？ID可能会存放在hidden中，但是通过fireBug等工具可以很容易的改动这个hidden的ID值，这样，那岂不是用户可以在为授权的情况下改动任意ID的用户了？？？？安全URLjava

Answer 1

1、增加登陆功能，登陆时设置session，比如里面存放自己的id。未登陆的用户就不能提交url。
2、普通用户只能修改自己的信息，根据session里的id来区分。

Answer 2

问题是存在一个人可以改多个人的情况下如A只能改a1\a2\a3三个用户，但是他确可以通过更改页面hidden这个方法改所以用户

Answer 3

你的意思是将ID加密传到页面，待页面传回来时，在拦截器中将加密的ID解密，在放行？不过我感觉一样可以越权，只要他得到加密后的ID，在传回来即可
或者我理解的不对，请详细说说你的方法

Answer 4

1.url加密，服务端解密执行。
2.楼主去查一下url重写urlReWrite技术。