Как запретить пользователям форматировать данные формы

Question

Я работаю над приложением C# MVC, где пользователи отправляют приложения административным пользователям для просмотра. Приложения могут быть одобрены или отклонены административными пользователями. Моя домашняя страница для администраторов отображает список поданных приложений, и нажатие на каждое приложение открывает новую страницу, на которой обрабатываются приложения.

Моя забота проста: поскольку атрибут «Id» для каждого приложения является скрытым элементом html в форме «Process Application» администратора, возможно, пользователь может изменить идентификатор приложения и отправить форму (в свою очередь утверждение/отказ в неприемлемой заявке). Я могу обойти это, используя объект Session для «AppId», и проверка AppId, опубликованная в форме, совпадает с сеансом AppId.

Однако (и это настоящая проблема), если я установил Session ["AppId"] = applicationId, этот объект сеанса можно легко переопределить, если пользователь должен был попросить обработать другое приложение перед отправкой первого. Возможно, пользователь-администратор воображает себя многозадачным и открывает два окна «Process Application». По сути, первая сессия [«AppId»] будет переопределена второй. Это вызывает проблему для обратной передачи, потому что теперь я не могу проверить что-либо на основе сеанса.

При написании этого, я понимаю, что я мог бы добавить элементы управления, чтобы пользователь не мог обрабатывать более одного приложения одновременно. Есть ли альтернативный подход? Также стоит отметить, что только пользователи-администраторы имели бы возможность подделывать идентификатор приложения, что маловероятно, потому что веб-приложение предназначено для помощи пользователям admin. На самом деле я просто ищу наилучшую практику для этих сценариев, а не опасаясь, что кто-то действительно подделает элементы в моей форме.

Является ли мой лучший подход на самом деле хранением AppId в сеансе и предотвращение админов от обработки более чем одного приложения за раз (так что объект сеанса не переопределяется)? Казалось бы, так, но я бы хотел получить совет от сообщества.

PS: Я понимаю, что эта проблема аналогична Secure way to stop users from forging forms. Тем не менее, я думаю, что самая большая разница заключается в том, что я в настоящее время разрешаю пользователям обрабатывать более одного приложения за раз, что мешает мне использовать один объект сеанса для «AppId».

Answer 1

Я бы приблизился к этому с точки зрения безопасности «&». Пользователи должны иметь возможность изменять то, что они должны изменить, данные должны также быть проверены на стороне сервера, а затем вы можете игнорировать все подделки :-)

Answer 2

Лучший подход, который я нашел, - это проверить Объект сеанса AppId при загрузке страницы. Если он существует, то пользователь не завершил обработку исходного приложения (этот сценарий можно обрабатывать различными способами. Я позволю вам решить, что лучше, но вы, вероятно, могли бы перенаправить пользователя обратно для обработки исходного приложения с соответствующим предупреждающее сообщение, объясняющее, что произошло). Это единственный способ, которым я могу думать, чтобы предотвратить подделку AppId в форме с использованием одного объекта сеанса.