Здравствуйте!

Возник вопрос правильного использования Спринга..

Есть контроллер, который выводит список студентов, по заданным пользователем ограничениям (FindStudentController). 
На форме рядом с каждым студентом ссылки или кнопки (вот это надо определить) на удаление или изменения студента( cоответственно DeleteStudentController и UpdateStudenController).
Самый простой вариант - сделать обычные ссылки на контроллеры с параметром ?id=X ... но тогда любой может изменить УРЛ и соответсвенно изменить id..
Второй вариант - сделать кнопки-submit и посылать на FindStudentController, а он уже будет перенаправлять на другие контроллеры..

Вроде стандартная задача.. думаю есть варианты решения получше. помогите плз

Заранее спасибо.

Это не задача Спринга по-моему, здесь просто нужно прикрутить механизм авторизации, чтобы левые люди просто не смогли бы подменить урл (проверка на сервере отсекала бы подобные поползновения, если чел не авторизован). А это уже можно сделать десятком способов, тут уже какой больше понравится 

Авторизация есть, но она тут ни причем...
Какая разница для авторизации /deletestudent.html?id=2 или /deletestudent.html?id=3. Доступ проверяется на контроллер.. А id можно любой поставить..

Это, наверное, не единственный вариант решения.. 
хочеться узнать как сделать правильно, то есть не "криво"  опыта просто нет

Это сообщение отредактировал(а) Kangaroo - 14.11.2006, 17:21

Ну раз доступ проверяется то значит удалять будут те которые имеют право это делать так что по-моему разницы нет какой у тя там урл будет.

Или генерируй эти id динамически, то есть каждому id студента сответствует динамческий айди а сопоставление реальных айди и этих псевдо айди будет лежать хде-нить в хэштейбле вот у тя и будут ссылки типа /deletestudent.html?id=AF65BB, а на самом деле это id=2   ну вот и ни кто не догадается какой туда айдишник подставить чтоб нагадить вам   

Это сообщение отредактировал(а) _and - 14.11.2006, 19:04

В принципе, да  
Все-таки мы обсуждаем один вариант. Наверное, он и есть правильный ))

Но.. ждем дальнейшех предложений 

ну как решите чего-нить поделись, возможно еще кому-то это поможет   

Ну как вариант предложенного выше способа - используй хеши (причем хеш-функцию можно написать свою) вместо реальных ID, а на сервере проводи обратное преобразование. Зачем только такая защита тебе понадобилась?  Ведь имеющий право на удаление и так сможет прибить запись в базе, без всякого подделывания УРЛа, а обычного юзера отсечет авторизация... 

Полностью согласен ) 
Я и не искал супер защиты..  просто мне этот способ показался слегка "корявым" 
вот и решил спросить.. 
Если лучших вариантов не появится, так и сделаем )