Grails 使用获取表单搜索来保护 URL

Question

我有一个使用 Spring Security 的 Grails 应用程序。

这个应用程序基本上是一个内容管理系统，所以它是一个 CRUD。

我的网址访问基本格式如下：

/$controller/$action/$id

这是遇到问题的地方。这发生在控制器中，例如，为了更改用户，我有以下 URL：

/user/update/1

在控制器中我有以下代码：

def update(Long id) {
    def user = User.get(id);
    [user: user]
}

这就是问题所在。如果用户直接更改（id）而不检查请求中的用户id是否正确，任何人都可以浏览我系统的用户。现在我有一个大问题。

我认为的解决方案是为每个注册系统创建一个唯一的哈希，这会妨碍用户理解，例如，ID 1 具有哈希 123aabbCCDD。

但是我在系统中有很多寄存器和很多域，我不知道这是否是最好的解决方案。

我需要帮助知道，例如，使用spring security，我可以做这种事情。

我试图找到问题的解决方案，但我不确定要搜索什么词，所以如果已经有像我这样的问题，请将链接放在 cmets 中。

谢谢。

Answer 1

正如 Joshua 所指出的，如果这是一个需要限制哪些用户（或哪些角色）可以执行特定操作的一般问题，那么 spring-security-acl 插件会有所帮助。但这可能很繁琐，因为您通常需要以细粒度的方式对事物进行建模，并且最终会在数据库中获得 很多 的 ACL 数据。

但是，如果您只想限制用户能够编辑自己，请不要传递用户 ID。如果操作需要身份验证，您已经知道用户是谁。如果是这种情况，请将操作更改为类似

def springSecurityService

def update() {
   [user: springSecurityService.currentUser]
}

通常可以避免使用 ACL 的相关工作流程是允许用户编辑他们拥有的内容，例如CreditCard。假设您在User 类中有static hasMany = [creditCards: CreditCard] 和static belongsTo = [user: User]（或只是User user），那么您可以允许表单发送信用卡ID，但您只需要使用修改后的查询，例如

def springSecurityService

def update(Long id) {
   def user = springSecurityService.currentUser
   def card = CreditCard.findByIdAndUser(id, user)
   [creditCard: card]
}

最终的 SQL 查询将类似于 select ... from credit_card where id=? and user_id=?，与 get() 调用（即 select ... from credit_card where id=?）的 SQL 相比，它具有很大的安全优势。恶意用户仍然可以尝试发送他们想要的任何 id，但是由于 where 子句同时检查 id 和用户外键，如果他们没有以卡所有者身份登录，则查找器将返回 null 并且您可以将其视为错误或黑客攻击，不允许访问。

请注意，您描述的哈希方法不是很安全 - 它只是“默默无闻的安全性”。如果每个用户的哈希值是恒定的，那么不难找出用户的哈希值并伪造请求（例如，同事可以只查看其他人的监视器并在浏览器中查看 url）。