如何为通过 URL 传递变量创建额外的保护？ [JavaScript]

Question

我使用变量通过 URL（即“.derp.html?name=derp?lname=herp”）传递到弹出窗口（它使用这些参数来预填充页面上的信息）。虽然这些页面是内部的，但我想创建更多的安全性。我不希望有人输入自己的链接并提交包含虚假值的表单。

我正在考虑在打开链接后运行一个函数，该函数会打开弹出窗口，并通过变量而不是通过 URL 将参数发送到新窗口。但是，我仍然需要将值发送到 java 脚本函数...

我还能做些什么来更安全吗？

编辑：让我重新表述一下......这不是公开的，这是内部的。我不希望用户尝试侵入系统来创建虚假表单。

我无法进行服务器端验证，因为我正在使用非常古老的方法，例如 IE 中的表格数据控制。没有真正的数据库来验证任何东西。

Answer 1

您可以POST这些值，而不是将它们附加到 URL。这就是 HTML 表单的用途。例如：

<form action="derp.html" method="POST" target="myNewWindow">
    <input type="hidden" value="derp" name="name"/>
    <input type="hidden" value="derp" name="lname"/>
    <a href="#" onclick="window.open("myNewWindow");this.parentNode.submit()">Click to open in a new window</a>
</form>

Answer 2

您有两个选择

1）不使用 GET 方法（在 URL 中发送参数），而是使用 POST 方法，并且参数将不再位于 HTML URL 中，您可以通过 Javascript 来完成。然而，想要向您的服务器发送虚假值的人仍然可以这样做，只是有点困难。

2) 创建一个哈希函数（Javascript 代码），在提交 URL 之前对所有参数进行编码，并在服务器端收到后对其进行解码。 http://en.wikipedia.org/wiki/Hash_function

无论哪种方式，都不会为您提供 100 % 安全性，但您仍然应该在服务器端执行参数验证。

Answer 3

您可以将其更改为发布请求...但是如果逻辑是前端，这就是您所能做的所有事情...除了混淆变量名称之外。