javascript - 使用 JavaScript 获取有关用户计算机的独特信息？

Question

思路如下:如果我可以使用 JavaScript 从 HTML 页面(可能是 MAC 地址)中获取有关计算机的独特信息，那么我可以将此数据用作另一项安全检查吗？这可能吗？

我不会在客户端检查计算机，我会将其发送到服务器进行检查。如果没有发送任何内容，用户将被阻止。所以它不是任何开发人员+firebug 的组合都可以绕过的。我只想再发送一个包含计算机独有的用户名和密码的字符串，没有人知道他们是否从该计算机进入系统。就像对用户本身隐藏的密码。

Answer 1

• 您可以尝试使用跟踪 cookie；但是请注意，此类机制被认为是暂时的(例如可以删除 cookie)。浏览器内的 JavaScript 是沙箱化的，因此它无法访问页面外部的组件。另请注意，使用 JavaScript 获得的任何安全感都是虚幻的——脚本在客户端运行，可以在客户端对其进行修改(因此无法判断“唯一”数据是真实的还是伪造的)或完全禁用。

• 如果您试图阻止随机的人入侵您的应用，您可能希望在尝试失败一定次数后禁止他们。这不会给您带来任何安全保障，它更像是一个捕蝇草 - 它在一定程度上减少了烦恼。

• 最后，如果您想要真正的安全性，请选择具有真实(非自签名)服务器证书和客户端证书 的 HTTPS - 参见例如this对于实现(但是，该示例使用的是自签名服务器证书，这不是很安全)。这是一种在浏览器本身中得到很好实现的机制，并为您提供了一个有点安全的系统(带有安全 keystore )来识别您的用户(而不是根本上有缺陷的 JS“安全性”，或依赖于用户-可读文件)。哦，你的数据在传输过程中是加密的，这是一个额外的好处。

SSL 实际上完成了您的要求:验证客户端机器是否有颁发给该用户的证书。这种机制在浏览器内部起作用，而不仅仅是在网页内部；因此，与页内 JavaScript 相比，颠覆它要困难得多。它以安全的方式存储一个大的唯一标识符(客户端证书)，并且它可以向服务器证明它确实拥有该标识符 - 这几乎是您的初始要求。

(顺便说一句，使用 SSL，数据在传输过程中会受到保护，并且客户端可以验证服务器的身份；这些不是您的要求，但它们或多或少是必要的，以确保您确实在与真正的客户端和真正的服务器)