หน้าเว็บมี drop-down สำหรับค่า status แต่ผู้โจมตีแก้คำขอก่อนส่งถึง API ฝั่งเซิร์ฟเวอร์ควรตรวจค่า status อย่างไร

เฉลยอธิบาย

ฟิลด์ที่มีตัวเลือกตายตัวต้องตรวจว่าค่าที่ส่งเป็นสมาชิกของชุดที่อนุญาตอย่างตรงกัน แม้ค่าจะมาจาก drop-down ก็ตาม การเชื่อข้อจำกัดของหน้าเว็บเพียงอย่างเดียวจึงไม่พอ เพราะคำขอที่ส่งเข้า API อาจถูกแก้ไขได้