javascript - 使用隐藏输入检索用户数据是否安全？

Question

我有一个非常大的表单，分为 5 个子表单。当您从form1转到form2时，form1中的信息将存储在DB中并创建一个userId。然后在 form2 中，这个 userId 被添加为隐藏输入。像这样的事情:

<form action="" method="post">
    <input type="hidden" value="userIDnumber" id="userId" />
    <input type="hidden" value="<?php echo base_url();?>" id="url" />
    //form data
    <input type="button" id="prevButton" value="Prev" />
    <input type="submit" value="Next" />
</form>

如果用户决定返回 form1 编辑数据，则单击“后退”按钮时会发生以下情况:

        var prev = document.querySelector('#prevButton');
        if(!prev.addEventListener){
            prev.attachEvent('onclick', prevPage);
        }else{
            prev.addEventListener('click', prevPage, false);
        }

        function prevPage(e){
            var userId = document.getElementById('userId').value;
            var url = document.getElementById('url').value;
            var form = document.createElement('form');
            form.setAttribute('method', 'post');
            form.setAttribute('action', url + 'form/1');
            form.style.display = 'hidden';

            var input = document.createElement("input");
            input.setAttribute("type", "hidden");
            input.setAttribute("name", "userId");
            input.setAttribute("value", userId);

            form.appendChild(input);
            document.body.appendChild(form);
            form.submit();              

        }

我正在做的是创建一个隐藏表单，并在该表单中添加一个带有 UserId 的隐藏字段，这样当转到 form1 时，我可以检索用户刚刚发布的数据，并在用户更改任何内容时更新数据库。

我的问题是，这是检索用户数据的安全方法吗？我对 javascript 很陌生，所以我不确定做这样的事情是否有一种方法可以让攻击者通过直接插入其他用户的 id 来访问他们的数据。

如果是这样，正确的安全方法是什么？我想过也许使用 session ，但我正在工作的客户不希望用户必须登录。

我没有发现任何与此相关的问题，但如果有，我深表歉意，并请指出它在哪里。

感谢您的宝贵时间。

Answer 1

当用户访问我的网页时，我创建一个全局对象，在其中创建一个用户命名空间，如下所示:

APP.user = {}; 

在此对象中，您可以存储所需的属性，并且可以在用户登录时使用 Ajax 从服务器检索用户数据。

您将在浏览器内存中获得一个带有键值对的简单对象。例如:

APP.user = {
    user_id: 'kgy', 
    firstname: 'kim', 
    lastname: 'gysen', 
} 

其实这个数据也是公开的。
当涉及敏感数据时，将数据存储在 DOM/全局对象空间中永远不会安全。
当然，无论如何用户都需要登录才能访问这些数据。

有一件事是，这种方法会更快，因为不需要抓取 DOM，只需跨不同页面获取一些本地用户数据即可。