27 | 数据源头：任何客户端的东西都不可信任

该思维导图由 AI 生成，仅供参考

这篇文章强调了在业务开发中需要具备的安全意识，特别是对客户端传来的数据不可信任的重要性。作者通过四个案例详细阐述了这一观点。首先，作者指出客户端的计算不可信，举例说明了在处理电商下单操作时，服务端需要重新计算订单价格，而不是直接信任客户端传来的数据。其次，作者强调了客户端提交的参数需要校验，提出了对客户端提交的参数进行有效性校验的方法。最后，作者还提到了服务端在使用网页隐藏域中的数据时需要小心。总的来说，本文通过具体案例向读者展示了在业务开发中需要注意的安全问题，强调了任何客户端的东西都不可信任的重要性。 文章还讨论了不能信任请求头里的任何内容，以及用户标识不能从客户端获取的问题。作者提出了一些解决方案，如通过登录或三方授权登录来获取用户标识，以及使用自定义注解和参数解析器来确保用户标识的安全性。此外，作者还提到了开放重定向问题，并提出了从代码层面预防开放重定向问题的建议。 总的来说，本文通过具体案例和解决方案向读者展示了在业务开发中需要注意的安全问题，强调了任何客户端的东西都不可信任的重要性，并提出了相应的解决方案。