javascript - 安全地存储 Web 推送通知的订阅 JS/Node.js

Question

我已经阅读了几篇有关为桌面浏览器实现 Web 推送通知的介绍性文章，但无法理解在后端服务器上存储从用户浏览器获取的订阅背后的安全部分。

有许多网站会请求您允许向您发送推送通知，而无需先在这些网站上进行身份验证/注册。如果我确实授予他们权限，并且他们将此权限字符串存储到后端服务器上以供以后使用，谁说我不会生成另一个订阅字符串并将其发送到他们用来保存我的订阅的后端服务器端点？因此，他们的数据库中充满了订阅条目。

当网站上没有可用的用户身份验证/注册时，后端服务器上接收的订阅的识别和验证机制是什么？

为了更好地说明:

网站 JS 代码请求浏览器授予推送权限 -> 我通过在弹出窗口上按“允许”来授予权限 -> 例如，他们会使用 HTTP POST 获取该权限并将其存储在他们的服务器上。使用一个简单的脚本，我与相同的 HTTP 端点建立连接，并以端点期望的相同格式发布更多订阅，从而淹没后端数据库。

Answer 1

经过大量阅读和咨询一种流行的 Web 推送通知服务后，我确认，当使用通知服务的网站上没有可用的身份验证时，确实有可能用伪造的订阅 URL 淹没后端服务器的数据库。

防御此类攻击的方法与防御DDoS攻击的方法类似:IP过滤、手动删除数据库条目等。