Java-用户越权访问action方法如何解决

Question

A用户有修改个人信息的权限,B用户也有.当A通过在URL输入的形式去修改B用户的个人信息.这种越权应该如何拦截?

Answer 1

1.修改的where条件中userId从当前session中获取，不要从前台传过来，前台传过来的值都不可信。