SSRS隐藏参数是否安全？SSRS 2017中@UserID参数能否被篡改

针对你提到的场景，直接说结论：单纯设置隐藏的@UserID参数并从服务器端配置，并不安全，终端用户是可以篡改的。下面给你具体拆解原因和可行的替代方案：

为什么隐藏参数能被篡改？ #

隐藏参数只是在ReportViewer前端界面上被隐藏，不会显示给用户，但它本质上还是会通过HTTP请求（URL或者POST体）传递给SSRS服务器。用户可以通过这些方式轻松修改：

• 用浏览器开发者工具抓包：打开F12查看报表加载时的网络请求，能直接看到包含@UserID的参数内容，修改后重新发送请求就能生效。
• 直接构造报表URL：SSRS支持通过URL手动指定参数，比如http://你的SSRS服务器地址/ReportServer?/你的报表路径&@UserID=恶意篡改的ID，这样就能强制覆盖服务器端设置的参数值。

真正安全的用户ID传递方式 #

如果要确保用户ID不被篡改，推荐用以下几种方案：

• 使用SSRS内置用户字段：直接用SSRS提供的User!UserID内置字段，它会自动获取当前登录到SSRS的用户身份标识，这个值是从身份验证上下文来的，用户无法通过前端请求篡改。
• 依赖可靠的身份验证机制：如果你的系统用了自定义认证（比如Forms认证），确保ReportViewer和SSRS服务器之间的身份会话是安全的，服务器端从身份会话中提取用户ID，而不是通过参数传递。
• 数据集/数据源层面做权限控制：就算参数被篡改，在数据库查询或者数据集里添加用户权限过滤逻辑（比如WHERE UserID = User!UserID），从数据源头限制用户只能访问自己的数据，从根本上杜绝篡改带来的风险。

内容的提问来源于stack exchange，提问作者LarsHJ