多次提交禁止重复提交Redis篡改不可取(redis禁止同一个id)

多次提交禁止重复提交:Redis篡改不可取

成都网站建设公司更懂你!创新互联只做搜索引擎喜欢的网站!成都网站制作前台采用搜索引擎认可的DIV+CSS架构,全站HTML静态,H5页面制作+CSS3网站,提供:网站建设,微信开发,重庆小程序开发成都商城网站开发成都app开发域名注册,服务器租售,网站代托管运营,微信公众号代托管运营。

随着互联网时代的到来,Web 应用程序的开发成为越来越普及的技能之一。在开发这些应用程序时,有时需要通过表单提交数据。在使用表单提交数据时,重复提交是一个必须要谨慎处理的问题。

一些开发人员可能会使用 Redis 等缓存工具来解决这个问题。然而,当涉及到多次提交禁止重复提交时,Redis 被篡改的风险非常高。为了防止 Redis 篡改,开发人员需要采用其他解决方案。

多次提交禁止重复提交的原因

多次提交禁止重复提交的主要原因是避免重复提交。例如,考虑一个在线购物应用程序。用户点击“提交”按钮来确认他们的订单。如果用户在等待页面加入购物车后多次单击“提交”按钮,则可能会出现多个相同的订单。这将导致用户不必要的麻烦,并严重影响客户体验。在这种情况下,多次提交禁止重复提交是必要的。

解决方法

在处理多次提交禁止重复提交问题时,一些开发人员可能会考虑使用 Redis 等缓存工具来存储数据。这种方法会在第一次提交后将数据存储在缓存中。如果同一用户再次提交相同的数据,则该数据将被 Redis 拒绝。虽然这种方法可以防止重复提交,但存在重大隐患。Redis 篡改是一个相对容易的攻击方法,因为 Redis 数据既可以在内存中,也可以在磁盘上。读者可以参考以下代码:

String orderNo = getOrderNo();
if(redisService.set(orderNo,1,"nx","ex",60L)){//设置成功,标识15s内未重复提交
return ResponseEntity.ok(orderNo);//返回订单号
}else{
return ResponseEntity.ok("重复提交");//重复提交
}

上述代码操作流程为,使用 Redis 的 set 方法设置订单号 orderNo ,每张订单的标识唯一,有效时间 60 秒。设置成功则表示未重复提交过,即用户提交的订单未存在于 Redis 中,否则表示重复提交。

如此一来,攻击者可以轻松地修改 Redis 数据(这很容易在某些无屏幕服务器上实现),并导致应用程序接受错误数据。破坏文件权限、修改配置文件、授予权限等攻击行为都可以实现 Redis 的篡改。

替代方案

由于 Redis 不是一个有效的解决方案,开发人员需要采用其他方法来解决多次提交禁止重复提交问题。以下是一些推荐的解决方案。

1.令牌桶限流器

令牌桶限流器是一种流控技术。它适用于控制访问速度和强制实现最大并发数量。

public class RateLimiter {
private long lastTime = System.currentTimeMillis();
private long gapMs;
private long leftCount;

public RateLimiter(long gapMs, long countPerGap) {
this.gapMs = gapMs;
this.leftCount = countPerGap;
}
public synchronized boolean tryAcquire() {
long now = System.currentTimeMillis();
if (now - lastTime > gapMs) {
lastTime = now;
leftCount = gapMs;
}
if (leftCount > 0) {
// 获得令牌
leftCount--;
return true;
} else {
// 没有获得令牌
return false;
}
}
}

上述代码中的 RateLimiter 类采用令牌桶限流,以在特定时间段内对请求进行限制。在该实现中,每个用户都只能在特定时间段内提交一定数量的请求,从而防止重复提交。

2.加密常量隐藏字段

常量隐藏字段式一种 Web 安全技术,可以将表单数据与预定义的常量配对。通过这种方法,您可以在 Web 应用程序中进行数据验证,以确保表单数据的一致性。

例如:






上述代码中,表单包含一个隐藏的值为 token 的字段。此token通常由应用程序生成,用于防止重复提交。如果将此token与每个提交的表单数据一起使用,则您可以从攻击者那里保护自己的 Web 应用程序。

结论

在开发 Web 应用程序时,多次提交禁止重复提交是一个必须仔细处理的问题。可惜的是,Redis 等缓存工具不是一个可行的解决方案。替代方案可能包括令牌桶限流器和常量隐藏字段,以防止重复提交和保护 Web 应用程序的安全。

香港服务器选创新互联,2H2G首月10元开通。
创新互联(www.cdcxhl.com)互联网服务提供商,拥有超过10年的服务器租用、服务器托管、云服务器、虚拟主机、网站系统开发经验。专业提供云主机、虚拟主机、域名注册、VPS主机、云服务器、香港云服务器、免备案服务器等。

新闻标题:多次提交禁止重复提交Redis篡改不可取(redis禁止同一个id)
标题来源:http://www.36103.cn/qtweb/news0/36500.html

网站建设、网络推广公司-创新互联,是专注品牌与效果的网站制作,网络营销seo公司;服务项目有等

广告

声明:本网站发布的内容(图片、视频和文字)以用户投稿、用户转载内容为主,如果涉及侵权请尽快告知,我们将会在第一时间删除。文章观点不代表本网站立场,如需处理请联系客服。电话:028-86922220;邮箱:631063699@qq.com。内容未经允许不得转载,或转载时需注明来源: 创新互联