Vaadin安全：是否存在请求伪造越权访问风险咨询

能否通过Burp Suite篡改请求传入其他用户ID越权获取隐私数据？ #

严格遵循Vaadin开发规范的业务场景下，这类攻击无法生效；但如果开发者业务代码写得有疏漏，依然存在越权风险。
Vaadin本身是服务端主导的全栈UI框架，和普通前后端分离架构下把所有业务参数放在请求里明文传输的模式不一样：用户登录后的身份信息、当前会话绑定的用户ID、各个View的状态默认全存在服务端的会话上下文中，前端只负责接收服务端返回的UI结构做渲染、上报用户的交互事件。正常实现业务逻辑时，查询当前用户数据都是直接从服务端会话里取用户ID，根本不会从前端请求里解析用户ID作为入参查库——这种情况下就算用Burp抓包随便修改请求内容，私自塞入其他用户的ID，框架和业务代码都不会识别这些非法添加的参数，自然拿不到其他用户的隐私数据。
需要明确的是：框架无法防护存在逻辑缺陷的业务代码。如果开发者图省事，主动把用户ID、业务数据ID做成URL路由参数或者前端可传的自定义请求参数，后端查库时拿到ID就直接查询，完全不做当前用户的资源归属校验，那无论使用什么框架都挡不住越权访问，这属于业务逻辑漏洞，和Vaadin本身的防护能力无关。

Vaadin针对请求伪造、越权访问的内置防护机制 #

• 服务端状态全托管：所有UI组件实例、View导航状态、用户身份上下文全部存储在服务端，前端拿不到核心业务标识的控制权，仅能上报用户点击、输入这类交互事件。框架收到请求后会先校验事件对应的组件是否属于当前会话用户的UI实例，乱传的无效参数、不属于当前用户的组件事件会被直接丢弃，根本不会流转到业务代码层。
• 默认开启CSRF防护：所有会修改服务端状态的请求，都会自动携带和当前会话绑定的CSRF令牌，令牌仅存储在服务端，不会明文泄露给第三方，跨站伪造的请求因为拿不到有效令牌会被直接拦截。
• 内置导航权限拦截接口：View跳转的全流程都在服务端管控，框架提供了统一的导航进入钩子，开发者可以在进入每个View、加载对应数据前统一做权限校验，比如加载详情数据前先判断这条数据是否属于当前登录用户，校验不通过直接拦截导航，不会返回目标内容。
• 严格的参数类型校验：所有前端传入的参数都会先经过框架的类型校验、合法性校验，不符合参数类型定义、超出当前交互上下文允许范围的参数会被直接过滤，不会传入业务逻辑层。

客户端与服务端、View之间的通信实现方式 #

View和View之间的导航逻辑默认是在服务端完成的，不需要前端在View跳转时专门传递核心业务参数。客户端和服务端的所有交互通信，默认全部采用POST请求走框架专属的通信端点，不会把业务参数拼在URL的GET参数里暴露出来。
只有开发者主动开启路由参数配置时，才会把指定的非敏感参数放在URL路径中，这类参数默认也会走框架的合法性校验流程，不会被业务逻辑无条件信任。

内容的提问来源于stack exchange，提问作者microwth