用户可以编辑隐藏字段吗？

-1

添加安全问题，以便用户在超过最大尝试次数时可以重置密码。对身份验证机制使用隐藏字段这样做不好吗？用户可以编辑隐藏字段吗？

<input type="hidden" name="securityAnswered" value=true> 
<input type="hidden" name="exceededAttempts" value=true>

用户可以从客户端进入并编辑这些隐藏字段吗？

2016-09-25 rtd353

如果您使用的是谷歌浏览器或Firefox，只需右键单击并选择检查元素项目，然后就可以更改客户端事物的值 –

还有其他一些程序可以执行此操作，如萤火虫， ... –

在您的控制台中，执行：'document.querySelector（“input [name = securityAnswered]”）。value =“wibble”' – Tibrogargan

用户可以从客户端进入并编辑这些隐藏字段吗？

当然！客户端上的任何内容都可以编辑。你不能阻止用户这样做。

您必须记住，客户端可以随时向服务器发布任何内容。当然

2016-09-25 07:49:41

好吧，那么将另一种方式将此信息从表单发送到服务器？ – rtd353

@ rtd353验证应该在服务器上完成。没有其他办法：客户端发布数据，服务器接收并**验证**。 –

这是真的，但我只想补充一点，如果你真的想在客户端保存数据，你仍然可以使用安全会话。 –

是的，任何一个都可以通过点击ctrl+maj+i

2016-09-25 07:51:51 user3432221

改变是，渗透测试人员做这使用拦截代理，如打嗝或将清除所有的时间。

有修改这类数据，包括浏览器的开发者工具的许多其他方式。

2016-09-26 11:05:59 TheGreatContini

回答