javascript - 客户端 JavaScript 中的 HMAC 和身份欺骗

Question

CryptoJS 具有根据消息和 key 创建 HMAC 的函数。

考虑到 key 必须存储在部署在客户端上的 JavaScript 源代码中，这怎么可能是安全的？

任何人都可以拿到 key 并以API原始客户端的身份向服务器发出类似的请求。 “身份”不就是HMAC要解决的问题吗？

总而言之，我不明白客户端 JS 中 HMAC 的用途，因为 key 不能保密。

是否有在 JavaScript 中计算 HMAC 的用例？

Answer 1

JavaScript 现在有 WebRTC，两个客户端可以在其中进行点对点通信，这是一个客户端可以生成和使用自己的“ secret ”的场景。

在某些情况下，客户端 -> 服务器也可以使用。如果您的服务器“动态地”为 JavaScript 提供服务，那么它可以根据客户端当前 session /登录插入一个“ secret ”。假设您使用的是 HTTPS(如果不是，中间可能会有一个人窃取“ secret ”)，那么假设与使用该特定“ secret ”(即使是通过不安全的 HTTP)签名的服务器的通信仅属于那个客户。