如何检查是否有人修改了您的 HTML（使用 Firebug 之类的工具）？

Question

有没有一种简单的方法可以检查是否有人修改了您的 HTML？我目前正在编写一些代码，从 DOM 获取数据并将其提交到后端，当然会对其进行清理并检查准确性，但我想知道是否有一种方法可以在传递时阻止这种情况。

例如，如果我有一个隐藏的输入，其中包含一个数字，并且有人在将其提交到我的服务器之前在 Firebug 中修改了该数字，那么有没有办法在将请求提交到服务器之前检查实际的 HTML 是否被修改，并且基本上就是告诉他们嘿伙计别再乱动我的东西了。

我不完全确定这是可能的，但如果是的话，我不知道该怎么做。

Answer 1

嗯，我想说用户浏览器上的 HTML 实际上是他们的。 （也就是说，greasemonkey 没有任何问题）在以 URL、HTML 表单输入参数和 cookies 的形式到达您的服务器之前，这些东西就不再是您的了——所有这些当然都可以在您不知情的情况下进行修改。所以你应该继续验证这些数据；没有什么灵丹妙药可以提供值得信赖的客户体验。

Answer 2

您可以与隐藏值一起发送另一个值，该值是您执行的复杂计算的结果，涉及隐藏值和一些永远不会发送到客户端的秘密值。然后，当您收到隐藏值时，只需执行另一次计算来反转第一个计算。如果您没有取回您的秘密值，那么您就知道他们已经更改了隐藏值。

当然，这仍然不会那么安全，因为有人可以轻松地在您的网站上进行一些实验，并仅根据您的隐藏值和验证值找出该秘密值是什么，然后也更改验证值。

有可能提出一种计算方法，使破解此类验证变得相当困难（但并非不可能）。然而，由于需要花费时间和精力来进行这样的计算，然后保持在其之上以确保不会出现新的漏洞，因此您最好在收到数据时对其进行清理。

在我看来，您最好不要依赖用户收到的任何数据。当然，可以采取一些技巧来完成您所要求的操作，这可能就是其中之一，但大多数这些技巧都很有可能被攻击者在足够的时间内弄清楚。

Answer 3

您可以查看是否有人正在使用 JavaScript 通过 Firebug 更改隐藏的 input 元素，但这个想法听起来很愚蠢。

所有关键验证都应该在服务器端完成。

您不能相信客户发送的任何内容都是准确的。如果有人真的想“搞乱你的东西”，他们可以轻松地（例如）编写一个 Python 脚本来将数据提交到你的服务器。

---

这是我在评论中提到的基于 jQuery 的示例：

现场演示#2

• 单击“提交”：背景将变为绿色 - 没有任何更改。
• 更改隐藏输入的值，单击“提交”：背景将变成红色 - 某些内容已更改。

HTML：

<form id="myForm" method="post" action="">
    <input type="hidden" value="123" />
    <input type="hidden" value="456" />
    <input type="submit" />
</form>

JS #2：

$('#myForm input[type="hidden"]').each(function() {
    $(this).data('originalValue', $(this).val());
});

$('#myForm').submit(function(){
    $(this).find('input[type="hidden"]').each(function() {
        if ($(this).val() != $(this).data('originalValue')) {
            $('body').css('background', 'red');
            return false;
        }
        //just for testing:
        $('body').css('background', 'green');
    });
    return false;
});

Answer 4

您可以在 JavaScript 中做一些事情，例如将期望值的副本保留在 JavaScript 中：

var originalHiddenFieldValue = document.getElementById("myHiddenField").value;

...稍后...

if (originalHiddenFieldValue !== document.getElementById("myHiddenField").value)
    alert("Hey, stop it!");

但最终，用户所要做的就是分离您的事件处理程序提交按钮来覆盖任何验证，您的代码将毫无用处。如果他们足够聪明，可以使用 Firebug 覆盖值，那么您可以打赌他们也愿意进一步修改您的脚本。

如果您尝试检查这些事情，那么您可以 100% 置信度地执行此操作的唯一方法是检查服务器端的隐藏字段，并比较这些值，正如您所说的无论如何您都在做的那样。