javascript - Javascript API 中的安全性

Question

我试图做的是构建一个 javascript 库，它将在外部网站上接受经过身份验证的用户，并将一些识别信息安全地传递到我的服务器以检索 Web 内容，然后这些内容将在 iframe 中提供外部网站。

现在，我的问题是 Javascript 不安全。这实际上是一个大问题。

假设

1. 拥有外部网站的公司可能几乎没有 IT 基础设施。
2. 我将无法访问他们的服务器或代码。出于这个原因，我只想让他们在页面上扔一个 javascript 包含和几行 html/javascript。
3. 外部网站可以使用任何语言并托管在任何平台上。我的后端是 .net 4.0

如何在确保不会发生篡改的同时将用户详细信息从外部服务器安全地获取到我的服务器？欢迎提出任何建议或想法。

Answer 1

据我所知，这无法使用纯 JavaScript 完成。

您将总是必须与远程服务器对话并询问它用户是否真的登录了。你从 JavaScript 得到的任何东西都是不可靠的，因为它可以被随意伪造。

您可以让远程服务器为 JavaScript 提供一个随机 token ，然后将其发送到您的服务器(就像 session ID)。然后您的服务器可以询问远程服务器 token 是否有效，并显示必要的数据。

不过，如果不涉及远程服务器，它就无法工作。没办法。