Question

如何保护前端传递的参数

Answer 1

禁止前端传值参数名的问题，通常可以通过后端接口设计、参数校验和前端代码规范来解决。

首先，后端接口设计时，可以采取一些策略来规避前端传值参数名的问题。一种方法是不直接在URL中暴露参数名，而是使用POST请求，在请求体中传递参数。这样，即使攻击者尝试篡改URL，也无法轻易更改请求中的参数。此外，后端可以设计一套参数映射机制，即前端传递的参数名与实际处理的参数名不一致，后端在接收到请求后进行映射转换，增加了攻击者的攻击难度。

其次，后端应进行严格的参数校验。无论前端传递什么参数名，后端都应有一套完善的验证机制来检查参数的有效性。例如，对于期望接收的参数，后端可以设定一个白名单，仅处理白名单内的参数，忽略或拒绝其他所有未在白名单上的参数。同时，对于参数值的范围和格式，也应进行严格校验，防止SQL注入等安全问题。

再者，前端代码规范也是解决这一问题的重要环节。前端在发送请求时，应遵守与后端约定的参数命名规范，不应随意更改参数名。此外，前端代码应进行混淆和压缩，增加攻击者分析前端代码的难度。同时，敏感操作应进行二次验证，如通过短信、邮箱等方式确认用户操作，防止恶意请求。

举个例子，假设有一个转账接口，前端需要传递转账金额和接收方账户两个参数。后端可以设计一个映射表，将前端传递的“amount”和“receiver”参数名映射为后端的“transfer_amount”和“beneficiary_account”。同时，后端对这两个参数进行严格的范围和格式校验，确保金额是合法的数字，并且接收方账户是已注册的有效账户。前端在发送请求时，必须遵守这一命名规范，否则后端将忽略或拒绝该请求。这样，即使攻击者尝试篡改前端代码或URL中的参数名，也无法成功进行恶意操作。

详情

Answer 2

保护前端传递的参数是确保Web应用安全性的重要环节。以下是一些具体的方法和步骤，用于保护前端传递的参数：

1. 使用HTTPS协议
‌原理‌：HTTPS通过SSL/TLS协议对数据进行加密，确保数据在传输过程中的机密性和完整性。
‌实施方法‌：
在服务器上配置SSL/TLS证书，可以购买商业证书或使用免费证书（如Let’s Encrypt）。
在前端和后端代码中强制使用HTTPS。前端可以使用相对URL或绝对HTTPS URL，服务器配置可以重定向HTTP请求到HTTPS。
2. 对参数进行加密
‌对称加密‌：使用相同的密钥进行加密和解密，如AES算法。

‌优点‌：加密和解密速度快。
‌缺点‌：密钥管理复杂，一旦泄露则安全性降低。
‌非对称加密‌：使用一对密钥（公钥和私钥）进行加密和解密，如RSA算法。

‌优点‌：公钥可以公开，私钥保密，适合用于加密小量数据或密钥交换。
‌缺点‌：加密和解密速度相对较慢。
‌实施方法‌：

在前端使用公钥对参数进行加密，然后将加密后的参数传递给后端。
后端使用私钥对加密参数进行解密。
3. 使用签名技术
‌原理‌：通过对参数进行哈希运算生成摘要，然后使用私钥对摘要进行加密生成签名。接收方使用公钥对签名进行解密并对比摘要，验证参数的完整性和真实性。
‌实施方法‌：
前端使用私钥对参数进行签名。
将签名与参数一起传递给后端。
后端使用公钥验证签名，确保参数未被篡改。
4. 限制参数的输入范围
‌方法‌：
使用表单校验、正则表达式等方式限制用户输入的格式和范围。
利用HTML5的表单验证属性（如required、pattern等）和JavaScript进行更复杂的校验。
设置输入框的maxlength属性限制输入长度，使用下拉框、单选框等控件限制输入选项。
5. 使用Token机制
‌原理‌：Token是一种临时凭证，携带用户信息和权限信息，确保请求的合法性和安全性。
‌实施方法‌：
后端在用户登录或其他需要验证的操作时生成Token，并将其返回给前端。
前端在后续请求中携带Token，后端验证Token的有效性。
Token生成时可以结合加密和签名技术，确保其安全性和不可篡改性。
6. 后端验证参数
‌必要性‌：前端的安全措施只能起到辅助作用，最终的验证和保护还是需要通过后端来完成。
‌方法‌：
对接收到的参数进行校验，确保其符合预期的格式和范围。
使用正则表达式验证参数格式，进行范围检查等。
结合具体业务逻辑验证参数的合法性，如通过数据库查询验证参数是否存在或是否符合业务规则。
7. 防御XSS和CSRF攻击
‌XSS（跨站脚本攻击）‌：通过输入验证、输出编码、启用CSP（内容安全策略）等措施防御。
‌CSRF（跨站请求伪造）‌：使用Anti-CSRF Tokens、配置SameSite Cookie属性等策略防御。
总结