全栈新手求助：如何安全地在页面间传递编辑用ID？

首先要明确：URL传递ID本身并非绝对不安全，后端的权限校验才是安全的核心——无论用哪种方式传ID，后端都必须验证当前登录用户是否有权限操作该ID对应的资源（比如检查这个计划是否属于当前用户），否则就算ID隐藏得再好，攻击者也能通过其他方式尝试越权操作。

下面是几种常见的安全传递ID的方案：

1. 改用POST请求传递 #

把原来的链接改成表单提交，将ID放在隐藏字段中，避免ID出现在URL里：

<form action="./action/plan-edit.php" method="POST">
  <input type="hidden" name="idplan" value="<?= $id_plan ?>">
  <input type="hidden" name="idprice" value="<?= $id_pricing ?>">
  <button type="submit" class="p-2 bg-gradient-to-tl from-blue-600 to-cyan-400 text-white rounded-lg transition-colors duration-300 cursor-pointer">编辑</button>
</form>

注意：POST参数依然能在浏览器开发者工具的请求面板中看到，所以后端权限校验不能少。另外，为了防止CSRF攻击，建议在表单中加入CSRF令牌（比如生成一个随机字符串存在Session里，表单中隐藏字段携带该字符串，后端验证）。

2. 利用Session存储ID #

如果是同一会话内的页面跳转，可以把ID存在服务器端的Session中，前端只负责跳转，不传递ID：

前端（点击编辑时通过AJAX存储ID） #

// 假设$id_plan和$id_pricing是PHP渲染到前端的变量
fetch('./save-edit-ids.php', {
  method: 'POST',
  headers: { 'Content-Type': 'application/x-www-form-urlencoded' },
  body: `idplan=${<?= $id_plan ?>}&idprice=${<?= $id_pricing ?>}`
}).then(response => {
  if (response.ok) {
    window.location.href = './action/plan-edit.php';
  } else {
    // 无权限时跳回列表页
    window.location.href = './plan-list.php';
  }
});

后端save-edit-ids.php #

session_start();
// 先校验用户对这两个ID的操作权限
function checkPermission($userId, $planId, $priceId) {
  // 这里写你的权限逻辑，比如查询数据库确认该计划属于当前用户
  return true; // 示例返回true，实际要替换为真实校验
}

$userId = $_SESSION['user_id'] ?? null;
$planId = $_POST['idplan'] ?? null;
$priceId = $_POST['idprice'] ?? null;

if ($userId && $planId && $priceId && checkPermission($userId, $planId, $priceId)) {
  $_SESSION['edit_plan_id'] = $planId;
  $_SESSION['edit_price_id'] = $priceId;
  http_response_code(200);
} else {
  http_response_code(403);
}

后端plan-edit.php #

session_start();
$planId = $_SESSION['edit_plan_id'] ?? null;
$priceId = $_SESSION['edit_price_id'] ?? null;

// 用完后立即销毁Session中的ID，避免后续误使用
unset($_SESSION['edit_plan_id'], $_SESSION['edit_price_id']);

// 再次校验权限
if (!$planId || !$priceId || !checkPermission($_SESSION['user_id'], $planId, $priceId)) {
  header('Location: ./plan-list.php');
  exit;
}
// 后续编辑逻辑

这种方式ID完全不会在前端暴露，但要注意Session的有效期，以及同一用户打开多个编辑页面时的ID覆盖问题。

3. 加密URL中的ID #

如果依然想使用URL传递，可以对ID进行加密，后端接收后解密：

加密解密工具函数（PHP） #

function encryptId($id, $secretKey) {
  $ivLength = openssl_cipher_iv_length('aes-256-cbc');
  $iv = random_bytes($ivLength);
  $encrypted = openssl_encrypt((string)$id, 'aes-256-cbc', $secretKey, OPENSSL_RAW_DATA, $iv);
  return base64_encode($encrypted . '|' . $iv);
}

function decryptId($encryptedId, $secretKey) {
  $data = base64_decode($encryptedId);
  list($encrypted, $iv) = explode('|', $data, 2);
  return openssl_decrypt($encrypted, 'aes-256-cbc', $secretKey, OPENSSL_RAW_DATA, $iv);
}

生成加密链接 #

$secretKey = '你的安全密钥（不要硬编码在前端，存在后端配置里）';
$encryptedPlanId = encryptId($id_plan, $secretKey);
$encryptedPriceId = encryptId($id_pricing, $secretKey);
?>
<a href="./action/plan-edit.php?idplan=<?= urlencode($encryptedPlanId) ?>&idprice=<?= urlencode($encryptedPriceId) ?>" class="p-2 bg-gradient-to-tl from-blue-600 to-cyan-400 text-white rounded-lg transition-colors duration-300 cursor-pointer">编辑</a>

后端解密并校验 #

$secretKey = '你的安全密钥';
$encryptedPlanId = $_GET['idplan'] ?? null;
$encryptedPriceId = $_GET['idprice'] ?? null;

$planId = decryptId($encryptedPlanId, $secretKey);
$priceId = decryptId($encryptedPriceId, $secretKey);

// 解密后必须校验权限
if (!$planId || !$priceId || !checkPermission($_SESSION['user_id'], $planId, $priceId)) {
  header('Location: ./plan-list.php');
  exit;
}

这种方式ID不会直接以明文暴露，但加密后的字符串仍会出现在URL中，且密钥必须妥善保管（不能泄露给前端），权限校验依然不可省略。

内容的提问来源于stack exchange，提问作者Efannnnnn