主要問題如下，假設(shè)用戶A有資源resourceA，用戶B有資源resourceB。準(zhǔn)備設(shè)計一個刪除功能，如下接口/del/resourceId用戶A就是/del/resourceA，用戶B就是/del/resourceB怎么才能保證用戶A執(zhí)行/del/resourceB會報錯，不會成功執(zhí)行？目前的想法是用戶A在執(zhí)行的時候通過cookie或者session保存著A的相關(guān)信息，查詢A的resource值是否一致來決定是否執(zhí)行。由于本人還沒正式做過項目，不知道這樣的想法是否合理，請各位能夠不吝賜教，謝謝。
4 回答
慕后森
TA貢獻(xiàn)1802條經(jīng)驗 獲得超5個贊
基本思路是正確的，如果只用cookie，要注意加密信息，防止用戶簡單修改cookie信息，由A切換為B。
session安全性能好點。
你這個屬于權(quán)限驗證。cookie或者session存儲當(dāng)前用戶身份。每次請求，服務(wù)端核對用戶身份和資源之間的對照關(guān)系，判斷是否非法請求。 用戶和資源之間的對照關(guān)系，這個一般存放在服務(wù)端數(shù)據(jù)庫，保證了信息安全。
慕萊塢森
TA貢獻(xiàn)1810條經(jīng)驗 獲得超4個贊
如果是MVC類型的工程，可以使用Cookie、Session，如果是RESTful API則不能(接口是無狀態(tài)的，不可能使用Cookie、Session來記錄狀態(tài)的)，通常使用OAuth2、OpenId、JWT等方案實現(xiàn)。
添加回答
舉報
0/150
提交
取消