javascript - 验证 POST 请求

Question

我正在创建一个 tampermonkey 用户脚本，它从包含用户高分的网站发送 POST 请求。例如这样的事情:

$.post('https://example.com/scores', {
    id: 123, high_score: 999,
});

但是，问题是用户很容易伪造一个假分数并使用假的 high_score 发送他们自己的 POST 请求。是否有办法以某种方式验证这些请求，以便我可以区分来 self 的用户脚本的真实请求和来自用户的伪造请求？也许一些加密/解密？

Answer 1

你可以在你的页面中添加一个隐藏的输入，其中包含一个随机数(数字只使用一次，它可以根据你使用的平台(唯一标识符)生成)值，当你发送帖子时读取值并添加它给你发布正文，在服务器端你检查这个随机数是否存在于数据库中然后这个帖子是真实的否则它不是。在你的后端，如果你有 session ，你可以将这个随机数保存在 session 中，这是一个例子

<input type="hidden" value="your-nonce" id="your-id">

<script>
let nonce = $("#your-id").val();
$.post('https://example.com/scores', {
    id: 123, high_score: 999,nonce
});
</script>