我應該驗證隱藏的字段嗎？

Question

惡意用戶可以修改通過隱藏字段提交的信息嗎？如果是的話，這是否意味着驗證和淨化通過隱藏字段提交的信息是一個好習慣？

謝謝！

Answer 1

惡意用戶可以修改通過隱藏字段提交的信息嗎？

是的。使用瀏覽器的開發工具（例如用於Firefox的Firebug，Chrome Dev Tools等）可以做到這一點，對於構建/操作原始HTTP請求沒有任何意義。

如果是的話，這是否意味着驗證和淨化通過隱藏字段提交的信息是一種很好的做法？

絕對如此。