javascript - 网页安全如何运作

Question

关闭。这个问题需要多问 focused 。目前不接受答案。

---

想要改进此问题吗？更新问题，使其仅关注一个问题 editing this post .

已关闭 6 年前。

Improve this question

这个问题在我脑海中萦绕了很长时间，作为一名 Web 开发人员，多年来我试图寻找答案，但惨遭失败。于是，打算去找这里的专家。常规 java/J2EE 应用程序中有许多可用于 session 劫持的严格安全措施，因此我们来讨论简单的 javascript 应用程序。

例如:正常的 Javascript 应用程序启动(AngularJS)，www.example.com/# 欢迎，成功登录后，用户可以导航到下一页，例如“www” .example.com/#page1/'，导航继续。

假设，现在 user2 没有登录，了解 url 路径“www.example.com/#page1/”，并尝试启动它，访问被拒绝。但这是如何在幕后发生的。 JavaScript 如何处理 session /客户端 ID 和跟踪。

我可以引用任何示例编码项目吗？

如果问题听起来太愚蠢，请道歉。

谢谢，大卫

Answer 1

安全性仅在服务器端完成。您的应用程序(包括 html、样式和 javascript)可供浏览器中的每个人使用。您将通过 ajax 调用从服务器获取所有敏感数据。在此 API 调用期间，您可以检查凭据或验证 header 中的身份验证 token 。通常您会执行以下操作:

session

检查用户名/密码并使用用户 ID 创建一个 session ，该 session 将在每次 api 调用时进行检查。这不是无状态的，如果您想创建 RESTful api，则必须避免它。

代币

检查用户名/密码并将随机创建的 token 保存在数据库中，然后将其发送回客户端。客户端将在每个请求中发送此 token ，您将检查数据库以查看此请求是否已授权。这是无状态的，但需要对每个请求进行查询以进行身份​​验证。

智威汤逊

检查用户名/密码并将加密的 JSON 对象发送到客户端，只有您可以使用服务器端 key 对其进行解密。客户端将在每个请求中发送此 token ，您只需通过解密 token 即可对请求进行身份验证。这是无状态的，不需要您保存 token 。