如何从Java向HTML传递不可被篡改的参数以防止用户越权？

你的问题是典型的前端参数篡改导致的权限绕过风险——前端传递的原始用户ID完全不可信，必须通过后端层面的机制来加固。下面是几个实用的解决方案，按安全性和复杂度排序：

1. 给用户ID添加HMAC签名（推荐入门方案） #

核心思路是：后端给每个合法的用户ID生成一个不可伪造的签名，前端同时携带ID和签名请求详情，后端验证签名的合法性，只有签名正确才允许访问。

具体实现步骤： #

• 后端生成签名（Java示例）：
  用一个只有后端知道的密钥（比如存在配置文件里的SECRET_KEY），结合用户ID生成HMAC哈希：

  import javax.crypto.Mac;
  import javax.crypto.spec.SecretKeySpec;
  import java.util.Base64;
  
  public class SignatureUtils {
      private static final String SECRET_KEY = "your-strong-secret-key-keep-it-safe";
      private static final String HMAC_ALGORITHM = "HmacSHA256";
  
      public static String generateSignature(String userId) {
          try {
              Mac mac = Mac.getInstance(HMAC_ALGORITHM);
              SecretKeySpec secretKeySpec = new SecretKeySpec(SECRET_KEY.getBytes(), HMAC_ALGORITHM);
              mac.init(secretKeySpec);
              byte[] signatureBytes = mac.doFinal(userId.getBytes());
              return Base64.getUrlEncoder().encodeToString(signatureBytes);
          } catch (Exception e) {
              throw new RuntimeException("Failed to generate signature", e);
          }
      }
  }
  

  生成用户列表时，给每个用户对象添加signature字段：

  // 假设你已经筛选出当前用户有权访问的用户列表
  List<UserDto> accessibleUsers = getAccessibleUsers(currentUserId);
  for (UserDto user : accessibleUsers) {
      user.setSignature(SignatureUtils.generateSignature(user.getId()));
  }
  // 把带签名的列表转成JSON返回给前端
  

• 前端展示与请求：
  展示图片时，把userId和signature都存在元素的自定义属性里（比如data-user-id和data-signature），点击时一起传给后端：

  <img src="user-avatar.jpg" data-user-id="123" data-signature="abc123..." onclick="viewUserDetails(this)">
  

  function viewUserDetails(imgElement) {
      const userId = imgElement.dataset.userId;
      const signature = imgElement.dataset.signature;
      // 跳转到详情页，或者用AJAX请求，携带两个参数
      window.location.href = `/user/detail?userId=${userId}&signature=${signature}`;
  }
  

• 后端验证签名：
  收到请求后，重新计算签名并和前端传来的对比，一致才继续处理，否则返回403：

  @GetMapping("/user/detail")
  public String userDetail(@RequestParam String userId, @RequestParam String signature, HttpServletRequest request) {
      // 1. 验证签名
      String expectedSignature = SignatureUtils.generateSignature(userId);
      if (!expectedSignature.equals(signature)) {
          return "403 :: 非法请求";
      }
      // 2. 二次验证权限：当前登录用户是否真的有权访问该userId
      String currentUserId = getCurrentLoginUserId(request);
      if (!hasPermission(currentUserId, userId)) {
          return "403 :: 无访问权限";
      }
      // 3. 返回用户详情
      UserDetail detail = getUserDetail(userId);
      return renderDetailPage(detail);
  }
  

2. 使用短期有效令牌（高安全性方案） #

如果想彻底隐藏原始用户ID，可以给每个可访问的用户生成一个一次性/短期有效的令牌，令牌和用户ID绑定存储在后端缓存（比如Redis），前端只传递令牌。

具体实现： #

• 后端生成令牌：

  // 用UUID生成唯一令牌
  String token = UUID.randomUUID().toString();
  // 把令牌和用户ID绑定，设置过期时间（比如1小时）
  redisTemplate.opsForValue().set("user_token:" + token, userId, 1, TimeUnit.HOURS);
  // 把令牌返回给前端，代替原始ID
  

• 前端请求验证：
  用户点击时传递令牌，后端先从Redis查询对应的用户ID，再验证权限：

  @GetMapping("/user/detail")
  public String userDetail(@RequestParam String token, HttpServletRequest request) {
      // 1. 从缓存获取对应的用户ID
      String userId = redisTemplate.opsForValue().get("user_token:" + token);
      if (userId == null) {
          return "403 :: 令牌无效或已过期";
      }
      // 2. 同样要做权限二次验证
      String currentUserId = getCurrentLoginUserId(request);
      if (!hasPermission(currentUserId, userId)) {
          return "403 :: 无访问权限";
      }
      // 3. 返回详情，可选：删除令牌使其一次性有效
      redisTemplate.delete("user_token:" + token);
      return renderDetailPage(getUserDetail(userId));
  }
  

  这个方案的优势是令牌可以过期，就算被窃取也只能在短时间内使用，而且前端完全接触不到真实用户ID。

3. 用索引代替原始ID（简易方案） #

如果不想引入签名或缓存，可以在后端给当前用户的可访问列表生成索引，前端传递索引而非真实ID：

具体实现： #

• 后端处理：
  把当前用户有权访问的用户列表存在Session或缓存里，给每个用户分配一个索引（0、1、2...）：

  List<String> accessibleUserIds = getAccessibleUserIds(currentUserId);
  // 把列表存在Session中
  request.getSession().setAttribute("accessible_user_ids", accessibleUserIds);
  // 返回给前端的是索引和头像信息
  List<Map<String, Object>> frontData = new ArrayList<>();
  for (int i = 0; i < accessibleUserIds.size(); i++) {
      Map<String, Object> item = new HashMap<>();
      item.put("index", i);
      item.put("avatarUrl", getAvatarUrl(accessibleUserIds.get(i)));
      frontData.add(item);
  }
  

• 前端请求：
  点击时传递索引，后端从Session的列表中取出对应的ID：

  @GetMapping("/user/detail")
  public String userDetail(@RequestParam int index, HttpServletRequest request) {
      // 1. 从Session获取可访问列表
      List<String> accessibleUserIds = (List<String>) request.getSession().getAttribute("accessible_user_ids");
      if (index < 0 || index >= accessibleUserIds.size()) {
          return "403 :: 非法请求";
      }
      String userId = accessibleUserIds.get(index);
      // 2. 权限验证（依然不能少）
      String currentUserId = getCurrentLoginUserId(request);
      if (!hasPermission(currentUserId, userId)) {
          return "403 :: 无访问权限";
      }
      // 3. 返回详情
      return renderDetailPage(getUserDetail(userId));
  }
  

  这个方案简单，但要注意Session的有效性，以及如果用户刷新页面，需要重新生成列表和索引。

最重要的通用原则： #

不管用哪种方案，后端必须做二次权限验证——永远不要相信前端传递的任何参数，哪怕参数不可篡改，也要检查当前登录用户是否真的有权限访问目标用户的详情。这是最后一道防线，也是最关键的。

内容的提问来源于stack exchange，提问作者Glyn