Enity id和EJB Services安全

Question

在許多情況下，EJB服務會根據每個JPA的紅色數據庫提供實體。 例如，讀取客戶地址並進行一些更改，並通過EJB地址服務再次將其保存在數據庫（em.merge）中。所以，如果EJB服務是無狀態的（我認爲你們所有人都會做到無狀態），那麼存在安全問題，因爲客戶端可以更改地址ID並更改另一個地址。這個問題或任何好主意是否存在模式？

Answer 1

您可能需要在系統中實現權限的概念。

您首先需要定義哪些規則決定誰可以更改地址（例如地址只能由位於該地址所在城市的用戶修改），然後在您的業務層中實現。我認爲您的問題的答案可能與您的業務規則一樣複雜。

回到您提供的示例中，如果客戶按照您的建議修改隨機ID，那麼它通常不會帶來任何好處，因爲id通常是自動生成的，但您當然需要在您的系統中關注這些方面應用程序。