首先需要聲明，本文純屬1個(gè)毫無遠(yuǎn)見和真才實(shí)學(xué)的小小開發(fā)人員的愚昧見解，僅供用于web系統(tǒng)安全方面的參考。

1、 簡單說明

利用程序通常以終端用戶沒法直接查看或修改的方式向服務(wù)器傳送數(shù)據(jù)。很多的時(shí)候，開發(fā)者都優(yōu)先斟酌實(shí)現(xiàn)基本效果，而很少去斟酌我們所采取的傳輸機(jī)制能夠確保數(shù)據(jù)在傳輸進(jìn)程中不會(huì)被修改。
在互聯(lián)網(wǎng)中，大量的數(shù)據(jù)通過URL參數(shù)的方式進(jìn)行傳遞，大部份的數(shù)據(jù)，是沒有通過加密進(jìn)行傳輸。在我所了解到的情況，大部份的數(shù)據(jù)是通過明碼進(jìn)行…

2、 優(yōu)點(diǎn)：

1. 不用追蹤用戶會(huì)話中的數(shù)據(jù)，減少保持在服務(wù)器上的數(shù)據(jù)，提高服務(wù)器處理的性能；
2. 大型系統(tǒng)中，都會(huì)使用負(fù)載均衡，還能下降負(fù)載均衡裝備的壓力；
3. 下降其他組件的復(fù)雜性；
4. 開發(fā)、聯(lián)調(diào)方便；
5. 其他優(yōu)點(diǎn)…

3、 URL參數(shù)傳遞

用戶閱讀產(chǎn)品目錄的時(shí)候，1般系統(tǒng)都會(huì)給用戶指派1個(gè)URL，類似下面：
http://127.0.0.1:8080/webStudy/url.jsp?price=2199&code=p7
固然，如果包括參數(shù)的URL顯示在閱讀器地址欄中，很多人知道，這個(gè)好像是不太安全的。固然，我們也要相信這類情況肯定有，不過應(yīng)當(dāng)是極少數(shù)。
很多種的情況，是我們不希望用戶直接查看的，我們會(huì)用1些其他的方法，比如系統(tǒng)通過彈出窗口或隱藏閱讀器地址的方式來進(jìn)行貌似高安全的方法。

1些購物網(wǎng)站也是這樣做的，通過隱藏字段來保持商品的價(jià)格。之前這類做法很常見，現(xiàn)在是不是消失，我也不肯定…

4、 通過URL參數(shù)傳遞的源代碼

url.jsp
<%@ page language=”java” import=”java.util.,javax.servlet.http.” pageEncoding=”UTF⑻”%>



看好你的門-阿飯同學(xué)


登陸成功，歡迎來自<%=(String)request.getRemoteAddr()%> 的用戶。

購買了華為手機(jī)，
型號為：<%=(String)request.getParameter(“code”)%>
單價(jià)<%=(String)request.getParameter(“price”)%>

在閱讀器上輸入：http://127.0.0.1:8080/webStudy/url.jsp?price=2199&code=p7
顯示：
登陸成功，歡迎來自127.0.0.1 的用戶。
購買了華為手機(jī)，
型號為：p7
單價(jià)2199

5、 被攻擊

雖然價(jià)格字段沒有顯示在屏幕上，看起來用戶也不能去修改。 但是客戶真?zhèn)€1切終究操作都是用戶控制，用戶編輯這個(gè)價(jià)格就能夠消除這個(gè)限制。
1、 最簡單的方法，點(diǎn)擊右鍵取得這個(gè)隱藏的URL參數(shù)，然后把這個(gè)參數(shù)進(jìn)行修改，然后載入閱讀器，那末結(jié)果就產(chǎn)生了變化； 比如：http://127.0.0.1:8080/webStudy/url.jsp?price=122&code=p7

2、 通過攔截服務(wù)器對數(shù)據(jù)直接進(jìn)行修改。