javascript - 类似 Instapaper 的小书签的安全性

Question

我正在尝试制作一个小书签，其功能类似于 Instapaper 的功能。我需要小书签来发送用户正在访问的页面的 URL 和用户的 token (以便服务器识别用户)。如何才能做到这一点？您建议我发送 POST 请求还是通过路由 URL(例如 http://example.com/USER_TOKEN/URL)？

还有，我需要担心用户的 token 被盗吗？如果是这样，我该如何处理？

Answer 1

will I need to worry about the user's token being stolen

由于您通过普通 HTTP 传输的所有内容基本上都是未加密的纯文本，是的，您需要担心 token 被盗。

在我看来，更重要的是，将用户 token 包含到您的小书签中似乎相当 hack-ish:

1. 如果一台机器被多个用户 A、B 和 C 使用怎么办？
2. 用户 A 和 B 都在使用您的服务？单独的书签？
3. 用户 C 对 A 所做的某事很生气 - 在十几个色情网站上点击他的书签听起来很有趣，是吧？

我会按照以下几行建议:

• 将 URL 提交到 GET (if you care about performance much) 或 POST (if you care about getting CRUD right) 路由。
• 服务器端:检查用户 session 是否存在(显然是通过 cookie)。
  • 如果是，处理您的数据，将成功回调作为 JSONP 发送。
  • 如果不是，则将失败回调作为 JSONP 发送，这会触发“请登录”弹出窗口/覆盖。

“请登录”会加分，记住用户一直试图保存的 URL，这样他就不必在登录后重新提交。