javascript - AJAX 安全规范

Question

是否有 AJAX 安全规范？

在发出 XMLHttpRequest 时，如果查询 HTTPS url，浏览器是否会处理所有证书业务并正确加密请求(或使用已经存在的经过身份验证的隧道)？此模型是否存在任何安全漏洞？

然后还有 AJAX 的用户身份验证问题。这让我想到使用用户密码加密部分或全部 AJAX 请求可以解决一些身份验证问题。我见过一些令人印象深刻的基于 javascript 的加密工具。似乎有很多潜力可以构建一个同时处理加密和身份验证(主机级别和应用程序用户级别)的单一系统。然而，我还没有看到任何似乎“经过验证”的东西。

我的问题可以概括为:

Is there a norm for secure AJAX either using browser technologies or client side javascript? What is it? And if not, what's preventing us from building one using javascript?

谢谢你，一如既往。

Answer 1

通过 HTTPS 的 SSL 是一种与目标服务器的合作项目。目标服务器将使用其身份证书报告其身份(发送回客户端)。这是加密客户端和服务器之间数据流的协议(protocol)的一部分。

然而，这只是对流进行加密，对其他几个安全问题没有任何作用。发出请求的用户实体的标识和认证是通过其他方式处理的。如果您使用 SSL 加密流，使用 HTTP 基本身份验证应该是安全的。之后，对身份验证的响应应该是发送回客户端的 session ID，客户端将在所有后续请求中将其传回。应用程序服务器通常管理这些 session ID 的创建。