如何防止用户手动修改URL地址栏对网站进行恶意操作

不存在完全禁止用户修改浏览器地址栏的技术方案，所有落地措施都以「篡改后的URL无法生效」为核心目标，可参考以下方案：

• 服务端全链路鉴权校验
  所有涉及资源访问、操作权限的请求，不要把URL参数作为唯一校验依据，必须在服务端额外校验当前登录用户的身份权限。比如用户手动把URL中的user_id=1改为user_id=2时，服务端直接校验当前登录用户是否具备user_id=2对应资源的访问权限，校验不通过直接返回403或404状态。
• 敏感参数脱离URL传递
  涉及权限、敏感操作的参数不要放在URL路径或查询字符串中，改用POST请求体、服务端Session、本地加密存储的方式传递。比如订单支付场景不要将订单ID放在URL中，改为从当前登录用户的待支付订单列表中关联匹配，避免用户篡改URL冒用他人订单。
• URL签名有效性校验
  若业务需要必须把参数放在URL中，可对所有URL参数加签名校验。生成URL时，将所有参数按规则排序后和服务端保密的密钥做哈希生成sign参数附在URL末尾；用户访问时服务端先重新计算参数签名，和URL携带的sign对比，不一致直接拦截访问。
  参考实现逻辑：

  // 生成带签名的URL
  const params = { order_id: 123, expire_at: 1700000000 }
  const sign = md5(Object.keys(params).sort().map(k => `${k}=${params[k]}`).join('&') + SERVICE_SECRET)
  const finalUrl = `/order/detail?${new URLSearchParams(params).toString()}&sign=${sign}`
  
  // 访问时校验
  接收所有URL参数后按相同逻辑重新计算签名，和传入的sign比对，不一致直接拒绝请求
  

• 前端路由拦截兜底
  单页应用可在路由守卫中添加上下文校验逻辑，比如用户仅允许从列表页进入详情页，用户直接输入详情页URL跳转时，校验当前用户的访问上下文是否合法，不合法直接重定向到首页或无权限页。也可以监听popstate事件，检测到URL异常变动时主动回退或重定向。
• 短时效动态URL生成
  针对临时访问链接，在URL中添加过期时间戳参数，服务端访问时先判断链接是否过期，过期链接直接失效，避免用户保存篡改后的URL长期发起恶意请求。

内容的提问来源于stack exchange，提问作者Sm Suman