为了安全,在不影响交互的情况下,在一些查询接口的返回值中应该选择性的将某些敏感字段屏蔽,防止用户伪造请求
在开发中,遇到几个场景:
1.在其他查询券详情的时候如果模板id暴露出去,而领券接口需要接受的参数是券模板id,这时候用户就可以变更券模板id领取其他券了。
2.查询用户账户的优惠券列表,返回优惠券code值,在下单页,用户可以伪造请求,传入该code,计算接口未做进一步的校验的话,就会出现问题。
如果某个字段在一些内部逻辑需要使用,比如排序,为对外不易暴露,可以用 transient 关键字修饰该属性。