Laravel 8 Livewire 2 wire:click传参可被前端篡改的问题如何解决？

这一问题是所有前端交互场景的共性问题：所有前端可篡改的内容都不可信，不能依赖前端传参的正确性做业务逻辑判断，必须在后端做校验管控，可通过以下几种方案解决，可组合使用提升安全性：

方案1：添加权限校验（核心必备方案） #

用Laravel自带的Policy策略做权限管控，无论前端传什么ID，都先校验当前登录用户是否有权限操作对应记录：

1. 生成对应模型的策略文件
   php artisan make:policy PostPolicy --model=Post
2. 在策略文件中编写权限判断逻辑

// app/Policies/PostPolicy.php
public function delete(User $user, Post $post): bool
{
    // 仅记录所属用户可删除，可根据业务调整规则
    return $user->id === $post->user_id;
}

3. 在Livewire的操作方法中调用授权校验

public function delete(string $id)
{
    $post = Post::findOrFail($id);
    $this->authorize('delete', $post); // 授权不通过直接抛出403异常，终止操作
    $post->delete();
}

方案2：加密传输敏感参数 #

把需要传递的ID在后端渲染时加密，前端拿到的是密文，篡改后无法正常解密，自然无法执行非法操作：

1. Blade模板中传递加密后的参数

<button wire:click="delete('{{ encrypt($post->id) }}')" type="button">Delete Record</button>

2. 后端接收到参数后先解密再使用

public function delete(string $encryptedId)
{
    $id = decrypt($encryptedId); // 篡改密文会直接解密失败抛出异常
    $post = Post::findOrFail($id);
    $this->authorize('delete', $post); // 建议仍保留权限校验做双重保障
    $post->delete();
}

方案3：避免敏感参数从前端传入 #

如果是单条记录操作的独立组件，直接把记录ID作为组件公共属性存储在后端，操作方法直接读取属性值，完全不接收前端传参：

1. Livewire组件代码

class PostItem extends Component
{
    public Post $post;

    public function mount(Post $post)
    {
        $this->post = $post;
    }

    public function delete()
    {
        $this->authorize('delete', $this->post);
        $this->post->delete();
    }
}

2. Blade模板中直接调用无参方法

<button wire:click="delete" type="button">Delete Record</button>

该方案下前端完全没有可篡改的参数入口，安全性最高。

注意 #

权限校验是必须的最后一道防线，加密、不传参都是上层防护手段，不要省略权限校验步骤。

内容的提问来源于stack exchange，提问作者Md. Tahmidullah