如何防止Django社交网站用户修改评论回复的hidden input值？

1. 如何防止终端用户修改hidden input的值？ #

首先得明确：前端的任何输入（包括hidden类型的input）都没法完全阻止用户修改——浏览器开发者工具、各类调试插件都能轻松篡改这类值。不过可以通过以下方式提升修改门槛，做前端层面的补充防护：

• 对comment pk做加密处理：用后端生成的密钥做对称加密（比如AES），把加密后的字符串存在hidden input里。后端接收请求后先解密，解密失败直接拒绝处理。
• 增加签名校验字段：结合comment pk、当前用户ID、当前时间戳等信息，用HMAC生成一个签名，把签名也放在表单的hidden字段里。后端接收时重新计算签名，和提交的签名对比，不一致就判定为篡改。
• 前端监听字段变更：给hidden input绑定change事件，一旦检测到值被修改就重置字段或者禁用提交按钮。但这种方法很容易被绕过，只能作为辅助手段。

2. 无法实现前端防护时的正确处理方案 #

不管前端防护做得多好，后端的校验才是核心安全防线，永远不要信任前端传过来的任何数据：

• 校验评论ID的真实性：后端接收到comment pk后，先去数据库查询确认该评论确实存在，避免用户提交无效或伪造的ID。
• 校验用户权限：检查当前登录用户是否有权限回复这条评论——比如确认评论所属的帖子允许该用户评论，或者没有被评论作者拉黑等限制。
• 校验请求合法性：结合CSRF防护机制，防止跨站请求伪造；同时过滤回复内容的敏感信息、限制内容长度等。
• 不依赖前端关联信息：比如回复的父评论关系，后端要自己根据业务逻辑确认合法性，不能直接照搬前端传的值。

内容的提问来源于stack exchange，提问作者Ahmed Ashraf