项目开发中安全问题以及解决办法——客户传进来的数据不可信

发布时间:2024年01月18日

用户传进来的数据是不可信的,比如下面这种情况下:

@PostMapping("/order") 
public void wrong(@RequestBody Order order) { 
 this.createOrder(order); 
} 
@Data 
public class Order { 
    private long itemId; //商品ID 
    private BigDecimal itemPrice; //商品价格 
    private int quantity; //商品数量 
    private BigDecimal itemTotalPrice; //商品总价 
}

如果我们直接利用客户端传过来的数据就很可能导致出现问题,服务端也一定要重新从数据库来初始化商品的价格,重新计算最终的订单价格。如果不这么做的话,很可能会被黑客利用,商品总价被恶意修改为比较低 的价格。

比如改为如下写法:

@PostMapping("/orderRight")
public void right(@RequestBody Order order) {
 //根据ID重新查询商品
 Item item = Db.getItem(order.getItemId());
 //客户端传入的和服务端查询到的商品单价不匹配的时候,给予友好提示
 if (!order.getItemPrice().equals(item.getItemPrice())) {
 throw new RuntimeException("您选购的商品价格有变化,请重新下单");
 }
 //重新设置商品单价
 order.setItemPrice(item.getItemPrice());
 //重新计算商品总价
 BigDecimal totalPrice = item.getItemPrice().multiply(BigDecimal.valueOf(order.getQuantity()));
 //客户端传入的和服务端查询到的商品总价不匹配的时候,给予友好提示
 if (order.getItemTotalPrice().compareTo(totalPrice)!=0) {
 throw new RuntimeException("您选购的商品总价有变化,请重新下单");
 }
 //重新设置商品总价
 order.setItemTotalPrice(totalPrice);
 createOrder(order);
}

一种可行的做法是,让客户端仅传入需要的数据给服务端,像这样重新定义一个 POJO CreateOrderRequest 作为接口入参,比直接使用领域模型 Order 更合 理。在设计接口时,我们会思考哪些数据需要客户端提供,而不是把一个大而全的对象作为参数提供给服务端,以避免因为忘记在服务端重置客户端数据 而导致的安全问题。 推荐写法:

@Data
public class CreateOrderRequest {
 private long itemId; //商品ID
 private int quantity; //商品数量
}
@PostMapping("orderRight2")
public Order right2(@RequestBody CreateOrderRequest createOrderRequest) {
 //商品ID和商品数量是可信的没问题,其他数据需要由服务端计算
 Item item = Db.getItem(createOrderRequest.getItemId());
 Order order = new Order();
 order.setItemPrice(item.getItemPrice());
 order.setItemTotalPrice(item.getItemPrice().multiply(BigDecimal.valueOf(order.getQuantity())));
 createOrder(order);
 return order;
}

文章来源:https://blog.csdn.net/m0_71507863/article/details/135657551
本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。