帶請求範圍的隱藏參數是否會在應用程序中產生安全問題？

Question

在我的應用程序中，我使用隱藏參數來存儲成功和錯誤URL。根據某些操作，該頁面將被重定向到成功或錯誤URL。隱藏的參數是請求範圍。在瀏覽器源代碼片段下方。

<input value="success.jsp" type="hidden" name="successURL"> 
<input value="error.jsp" type="hidden" name="errorURL"> 

如果有人試圖更改隱藏參數並注入其他URL，它將隻影響該用戶會話。當安全工具運行時，他們用隱藏的參數報告問題。但我不確定安全工具是否具有智能來檢查參數的範圍並確定哪些參數真的有害。該工具通常會在隱藏參數中注入一些其他URL，嘗試查看該網站是否正在移動。但就應用程序而言，我認爲隱含參數與請求範圍不會造成任何傷害。

我不確定我的理解是否正確。

Answer 1

這真的取決於您的應用。 例如，如果惡意用戶將errorURL更改爲他擁有的服務器並插入錯誤修剪輸入，則您的應用程序可能會引發異常，並且可能會將此異常的詳細信息發送到errorURL，從而使惡意用戶有關您的服務器和配置的更多信息使您的應用程序（和託管服務器）更容易受到攻擊。

隱藏的輸入需要很好的思考。