主要問題如下，假設用戶A有資源resourceA，用戶B有資源resourceB。準備設計一個刪除功能，如下接口/del/resourceId用戶A就是/del/resourceA，用戶B就是/del/resourceB怎么才能保證用戶A執行/del/resourceB會報錯，不會成功執行？目前的想法是用戶A在執行的時候通過cookie或者session保存著A的相關信息，查詢A的resource值是否一致來決定是否執行。由于本人還沒正式做過項目，不知道這樣的想法是否合理，請各位能夠不吝賜教，謝謝。
4 回答
慕后森
TA貢獻1802條經驗 獲得超5個贊
基本思路是正確的，如果只用cookie，要注意加密信息，防止用戶簡單修改cookie信息，由A切換為B。
session安全性能好點。
你這個屬于權限驗證。cookie或者session存儲當前用戶身份。每次請求，服務端核對用戶身份和資源之間的對照關系，判斷是否非法請求。 用戶和資源之間的對照關系，這個一般存放在服務端數據庫，保證了信息安全。
慕萊塢森
TA貢獻1810條經驗 獲得超4個贊
如果是MVC類型的工程，可以使用Cookie、Session，如果是RESTful API則不能(接口是無狀態的，不可能使用Cookie、Session來記錄狀態的)，通常使用OAuth2、OpenId、JWT等方案實現。
添加回答
舉報
0/150
提交
取消