一、問題：

　　在開發web項目是時，安全問題有以下幾種問題：

　　（1）用戶可以自己偽造一個URL請求來進行訪問嗎？

　　（2）用戶不在服務器登錄，可以自己封裝出用戶名、密碼進行訪問嗎？

　　（3）url的參數可以多次嘗試進行暴力破解嗎？

二、分析思路：

　　首先，什麽是安全，用戶自己拼接的URL請求就一定有錯嗎？

　　我們的JS可以寫一個請求到後臺，用戶自己為什麽不可以？

　　那麽，安全的情形是什麽？

　　（1）用戶在服務器SESSION裏有登錄的記錄，並且沒有超時，是可以正常請求的

　　（2）請求的用戶名密碼驗證是正確的，同時具有該請求權限

　　（3）拼接的參數格式也是正確的，後臺接受的數據匹配

三、解決：

　　（1）使用JWT、SHIRO進行安全驗證，去掉用戶名密碼不匹配的

　　（2）在URL進行訪問的時候，指定訪問的上下文，必須在某請求發出後，才能發出當前請求【referrer 屬性可返回載入當前文檔的文檔的 URL】

　　（3）對URL請求進行加密，用戶不能隨便看到後臺請求的URL信息【感覺加密沒啥用，以加密文本也可以請求，只是不能判斷意義而已】

關於web服務安全的一些思考