什麼是保護網址的最佳方式？

Question

我使用spring-mvc開發了一個簡單的網站。問題是確保網址的最佳方式是什麼？ 例如，我有用戶和筆記。用戶只能編輯/刪除他們擁有的筆記。 用戶編輯一個筆記的鏈接爲localhost/note/edit/1

但我不希望其他用戶只更改id參數並查看其他筆記。

如何在這些情況下保護網址？

Answer 1

然後，您需要在編輯頁面的開始處檢查登錄人員的用戶ID是否與數據所有者的用戶ID匹配。

Answer 2

由於您使用的是Spring，並且您希望根據用戶標識作出授權決定，因此您應該閱讀Spring Access Control。

要使用表達式來保護單個URL，首先需要將元素中的use-expressions屬性設置爲true。然後，Spring Security將期望元素的訪問屬性包含Spring EL表達式。表達式應計算爲布爾值，以確定是否允許訪問。

但還有很多其他的方式來處理授權。不要習慣於假定用戶ID是做出這些決定的最佳方式。請閱讀"From ABAC to ZBAC"瞭解有關替代方案。