多租户过程记录三

AngularJS中路由参数如何屏蔽掉？

 

      第一，永远不要相信用户传给我的参数。我们永远无法知道用户会传什么参数给我们，要做的唯一一件事就是判断参数的合法性。

      第二，一些url路径带有参数，那些参数是公开的，跟安全什么的并不有好大的关系。

      第三，考生端登录添加租户号。也就是想在地址栏加上一个参数。这是可以的，可以给这个参数进行加密，后台接受到参数然后再进行解密。

      第四，既然我们知道这个考生属于什么机构了，为什么又要把路由参数屏蔽掉呢？这些参数是敏感的吗？

 

     其实，任何用户输入的参数我们不相信，我们要对其合法性进行判定。把任何一个登录者存session，这个session中的数据才是我们相信的。假如不同租户下的学生学号可以一样，我们也可以通过学生在登录之前进行学校的选择，比如我是考生，我在准备输入用户名和密码登录系统，参加考试之前，是不是应该选择，我是属于哪个租户或者属于哪个机构的呢？然后再用用户名和密码进行登录。所以不用考生输什么租户号什么的，即使你输了也可以，我后台接受到参数，我对参数的合法性进行判断就可以了。至于参数你想加密，那就加密就是。不加也可以。