如何防止评论表单中的隐藏输入字段被用户篡改

方案1：服务器端会话绑定 #

• 用户打开商品详情页时，将当前商品ID存入服务器端的用户会话（比如PHP的$_SESSION、Java的HttpSession，或对应框架的会话组件）。
• 提交评论时，服务器忽略客户端传来的商品ID，直接从会话中读取存储的ID来关联评论。
• 优化点：如果用户同时打开多个商品页，可在会话中存储最近浏览的N个商品ID，验证时检查提交的ID是否在该列表内，避免会话覆盖问题。

方案2：加密签名商品ID #

• 生成表单时，服务器用HMAC算法（结合仅服务器知晓的密钥）对商品ID进行签名，将原始ID和签名一起作为隐藏字段返回给客户端。
• 提交评论时，服务器重新计算签名并与客户端传来的签名对比，一致则认可商品ID有效，否则拒绝请求。
• 示例代码（PHP）：

// 生成带签名的表单字段
$product_id = 123;
$secret_key = getenv('SERVER_SECRET_KEY'); // 密钥存环境变量，不要硬编码
$signature = hash_hmac('sha256', (string)$product_id, $secret_key);

echo '<input type="hidden" name="product_id" value="' . htmlspecialchars($product_id) . '">';
echo '<input type="hidden" name="signature" value="' . htmlspecialchars($signature) . '">';

// 服务器端验证
$received_id = $_POST['product_id'];
$received_signature = $_POST['signature'];
$calculated_signature = hash_hmac('sha256', (string)$received_id, $secret_key);

if (!hash_equals($calculated_signature, $received_signature)) {
    // 签名无效，拦截请求
    http_response_code(403);
    exit('Invalid request');
}

方案3：通过URL路径传递商品ID（AJAX/单页应用场景） #

• 把评论提交接口的URL设计为包含商品ID的路径，比如/api/products/{productId}/comments，而非通过表单字段传递ID。
• 服务器直接从URL参数中提取商品ID，完全不依赖客户端提交的字段，从根源杜绝篡改可能。
• 示例代码（Node.js/Express）：

app.post('/api/products/:productId/comments', (req, res) => {
    const productId = req.params.productId;
    // 验证商品存在性后，用该ID关联评论
    // ...处理评论逻辑
});

额外注意事项 #

• 无论采用哪种方案，服务器端都必须额外验证商品ID的合法性：检查该商品是否存在、用户是否有权限评论该商品（比如是否已购买，若需限制）。
• 签名密钥务必保存在服务器端，绝对不能暴露给客户端，避免硬编码到代码中，优先使用环境变量存储。

内容的提问来源于stack exchange，提问作者Miky