项目经验谈之二——隐藏表单提交地址增强安全性

   很多时候我们会将表单的提交地址写到action属性中，但是这样做有时又会带来一些安全隐患，那么怎样才能尽量地避免action地址明目张胆地与用户会面呢？这里我给大家提供一个点子。

   我们打算用Ajax技术来做这些事。

   也就是说，客户端send一个请求得到action地址，服务器验证合法性以及客户端状态后，将action地址response到客户端，然后赋值给form的action属性，这样form标签的action地址得以彻底解放，就再也不会出现在网页源代码中了。

   那么下面我会一步一步地带大家完成这个模块的设计。

   首先，我们删掉form中的action属性，那么表单代码变成：

<form name="regform" method="post"> //这里是表单内容 <form>

   然后我们在含有表单html文档文件夹下建立一个名字叫做"ajax"的文件夹，用来存放处理getAction()函数的jsp文件。在ajax文件夹下新建getAction.jsp，并编写代码如下：

<%@ page language="java" contentType="text/html; charset=utf-8" pageEncoding="utf-8"%> <% request.setCharacterEncoding("UTF-8");//项目采用UTF-8编码 response.setContentType("text/html;charset=UTF-8"); %> <% String url = "";//用来存放传入的url参数，以定位需要action地址的页面 if(request.getParameter("url") != null){ url = request.getParameter("url"); if (url.equals("reg")) { out.print("/*此处写返回的action地址*/"); } else if (url.equals("/*还有其他需要action地址的页面*/")) { out.print("/*其他需要action地址的页面的action地址*/"); //下面可以写更多else if判断语句 } else { out.print("#");//无法定位页面，返回空地址 } } else { out.print("#");//无法定位页面，返回空地址 } %>

   这样，我们就可以在html页面中写Ajax函数了：

var xmlHttp; function getAction() { var url = "ajax/getAction.jsp?url=reg"; sendActionRequest(url); } /*根据浏览器类型创建request对象*/ function createXMLHttpRequest () { if (window.XMLHttpRequest) { xmlHttp = new XMLHttpRequest(); } else if (window.ActiveXObject) { try { xmlHttp = new ActiveXObject("Msxml2.XMLHTTP"); } catch (e) { try { xmlHttp = new ActiveXObject("Microsoft.XMLHTTP"); } catch (e) { //处理异常 } } } } /*Send request对象*/ function sendActionRequest(url) { createXMLHttpRequest (); xmlHttp.open("GET", url, true); xmlHttp.onreadystatechange = processActionResponse; xmlHttp.send(null); } /*返回结果进行处理*/ function processActionResponse() { if (xmlHttp.readyState == 4) { if (xmlHttp.status == 200) { var result = xmlHttp.responseText; var rs = result.toString(); document.regform.action = rs; } else { alert("表单action地址无法获取"); } } }

   最后，我们在html文件中添加一个按钮来触发getAction()函数:

<input type="button" value="获取action地址" οnclick="getAction()" />

   这样我们就大功告成了，从此action地址不再狐假虎威地招摇过市，而会在用户面前“隐身”。