Determine todos los campos posibles en el formulario HTML

¡Esto no es seguro! Es seguridad en la oscuridad, y no lo suficiente como para proteger nada de valor. Hay muchas maneras en que un atacante podría adivinar los nombres de los campos:

• Adivinando. Si escribes un buen software, tus nombres son descriptivos y fáciles de adivinar. Si quiero eliminar algo, ¿por qué no intenta configurar delete a 1 y ver qué ocurre?
• Fuerza bruta.
• Echar un vistazo al código fuente si está disponible.
• Si un usuario ha tenido acceso al nivel de administrador, pero se le revocó, es posible que haya guardado los nombres de los campos.
• Comprueba el caché del navegador de tus colegas.

Antes de realizar cualquier acción, el servidor debe verificar que el usuario actual tenga los privilegios suficientes para realizar esa acción.

Tienes algo de HTML, que omite ciertos campos de formulario confidenciales, ¿no?

No hay una conexión real entre cómo funciona la lógica de backend y cómo se muestra la interfaz, por lo que en teoría es imposible que un usuario sepa los nombres de los campos omitidos solo en base al HTML.

Dicho esto, el enfoque correcto es validar la seguridad en el backend, y no debe asegurar las cosas simplemente ocultándolas de la aplicación cliente .

Al ocultar los campos de formulario y al utilizarlos como la única forma de seguridad, esos nombres de campo se convierten efectivamente en secretos, como las contraseñas o las claves privadas. Algunas recomendaciones comunes para información secreta:

• Genere aleatoriamente secretos: no debería tener ningún significado. ¿Tus nombres de campo se parecen a "batería de caballo correcta" o "gbKtDAABylCGSg"?
• Los secretos deben protegerse estrechamente contra la divulgación a partes no autorizadas. ¿Ha examinado el código JavaScript, los mensajes de error del servidor, etc., para asegurarse de que no revelen sus nombres de campo?
• Los secretos no deberían entrar en el control de la fuente, porque eso aumenta significativamente el riesgo en caso de una fuga en la fuente (lo que a veces ocurre). (y realmente, esto se aplica a cualquier situación en la que tengas seguridad por oscuridad)

Supongo que al menos 2 de estas medidas, o quizás todas, no se han hecho. Si bien es cierto que un usuario no puede simplemente adivinar mágicamente cuáles son los nombres de los campos que faltan (por lo que esto podría no ser una situación de "el cielo se está cayendo, arreglar esto ayer"), los usuarios PUEDEN adivinar los nombres comunes, y la autenticación de back-end definitivamente debería ser utilizado como el mecanismo de seguridad real.

En general: si un atacante podría romper su sistema con solo mirar el código fuente, entonces sí, es "seguridad a través de la oscuridad" y no debe confiar en él. Debe validar en el servidor para que el usuario tenga acceso a los campos que está enviando. No tienes control sobre qué forma utilizará un atacante para atacar tu servidor.