request.getParameter的安全性问题。

Question

if(request.getMethod().equals("POST")){
//////
}
即使是post也一样有这个问题，别人既然能知道传参，那用表单或者编程直接提交到你这个url一样能做这个操作。

Answer 1

用session判断是否有权限操作。

Answer 2

把ID加密了 再传 就OK乐 

Answer 3

首先，ＳＥＳＳＩＯＮ角色权限是肯定有的，我的意思是，就算有权限，我也不想让角色可以通过ＵＲＬ直接删记录，ＰＯＳＴ如果跨域提交那应该比较好办，加个判断就能阻止，至于加密没有涉及过，俺不会，
所以我想，判断是否是"POST"和是否来自本域作为条件，不知道这样做合不合理？

Answer 4

如果有权限删除，说明这个人有此项功能，他直接删也行，通过url删也是多此一举啊！

Answer 5

用struts的同步令牌思想现在session里生成一连串数字
生成RSA公钥和私钥
然后对数字进行私钥加密
将加密后的数字传到客户端
然后提交的时候，得到客户端生成的数字，公钥，原文进行解密和匹配。匹配成功则进行处理，不成功则返回

Answer 6

客户登录后看到的ＩＤ记录是筛选过的，比如是前５０条，然后删除页面为了通用性一般不会去判断来的ＩＤ是不是５０内的，所以直接ＵＲＬ他就可以删前５０条之外的，所以我想通过ＰＯＳＴ提交来解决这个问题，当然ＰＯＳＴ也可以自己做个跨域提交，所有我说判断是否是"POST"和是否来自本域作为条件。
至于21楼的公钥和私钥，有点高深，有空研究下。还有很多朋友都回答添加权限，可能是我的问题没说清楚，抱歉了~

Answer 7

教你个简单的方法。
将 form的method设置成post
然后在后台判断是否是post
如果你直接在url上打，必然是get

Answer 8

if (HttpMethod.POST.equals(request.getMethod())) {} else {
    // 报错
}加上你之前的权限判断，应该可以了