针对伪造请求的 Wicket 安全性

Question

如果我隐藏和禁用 Wicket 表单，我是否需要在我的 onSubmit 中仔细检查可见性条件？ （就像我们在 JS 验证与服务器验证中所做的一样？）

考虑一下这个 Wicket sn-p：

public class TestPage extends WebPage {
    public TestPage() {
        boolean editable = checkIfUserCanEdit();
        add(new TestForm()
                .setEditable(false)
                .setVisible(false));
    }
}
public static class TestForm {
    ...
    public void onSubmit() {
        if (!checkIfUserCanEdit()) abort(); // Is this necessary?
        ...
    }
}

我的 onSubmit 是否需要“重新验证”？

Answer 1

查看onSubmit()的调用层次结构

protected void delegateSubmit(IFormSubmitter submittingComponent)
[...]
    public void component(Form<?> form, IVisit<Void> visit)
    {
        if (form.isEnabledInHierarchy() && form.isVisibleInHierarchy())
        {
            form.onSubmit();
        }
    }
[...]

鉴于我会说，无需进一步保护。