javascript - 通过 javascript 中的 xhr 请求上传到 azure blob 是否安全

Question

我正在实现一个以 angular2 作为前端、Laravel 作为后端的项目。在此项目中，我通过前端的 xhr 请求将文件上传到 Azure blob。当 Xhr 请求触发时，azure blob 存储 url 会显示在 console 的网络选项卡中，并且此 url 包含 azure blob 的签名。

在Javascript中通过XHR实现这个功能可以吗？任何建议都会对我有很大帮助。

Answer 1

Is it ok to implement this functionality through XHR in Javascript. any suggstions will help me a lot.

我认为只要您保持 SAS token 仅在上传文件所需的时间内有效(猜测上传文件所需的实际时间可能很棘手)，就可以了。

您还可以采取其他一些措施来使其更加安全:

• 仅在 SAS token 中包含写入 或创建 权限。如果不需要，请勿包含其他权限，例如读取或删除。这样，用户将仅使用此 SAS token 上传文件，而无需执行任何其他操作。
• 如上所述，请保持 SAS token 有效期较短。
• 如果可能，仅获取用户上传的文件的 SAS token 。不要获取整个 Blob 容器的 SAS token 。这样，用户将仅上传特定文件。
• 在 SAS token 中包含 IP ACL，以便用户无法与其他用户共享 SAS URL。 IP ACLing 将强制仅从 SAS token 中包含的 IP 地址使用 SAS URL。