javascript - 从 JavaScript 应用程序发送和接收加密数据

Question

我有一个交互式 html5 应用程序，可以让人们在客户端自定义产品。当用户进行定制时，价格会根据各个组件的价格进行更新。

完成后，此人点击结帐，我将定制发送到服务器，然后服务器接管结帐过程。

显然，向服务器发送价格数据毫无意义，因为任何人都可以伪造 POST 数据。因此，我尝试编写一个服务器端脚本，该脚本将根据所选组件(与自定义数据一起发送到服务器)重新生成价格，并在结账时显示该价格。然而，由于提供了复杂的定制，服务器端计算被证明是非常困难的；似乎我必须在服务器端重写整个客户端自定义逻辑(这需要大量工作)。

在我继续编写服务器端脚本之前，我想知道是否有可能以一种无法欺骗的方式(可能是非对称 key 身份验证)将价格数据发送到服务器？

Answer 1

永远不要相信客户发送给您的信息。

要回答您的问题，可以使用加密将数据从客户端发送到服务器。然而，这里的问题是被加密的数据甚至可以在加密之前被修改。因此，加密并不是真正的解决方案。客户端可能会在加密前修改数据，如果没有服务器端检查，服务器将不会知道这一点。

即使使用公私钥加密，这仍然是不安全的。只会保证您的数据从用户到服务器不会被篡改。它不能被第三方 欺骗，但您的用户可以欺骗它，从而使加密变得毫无意义。因此，不要相信用户会向您发送有效的合法信息。

您真的应该仔细检查服务器中的所有内容。除非隐私是一个问题(这可能基于您的描述)，否则您不需要加密。这可以使用 https 轻松解决。

您创建的客户端 javascript 可以作为对用户的即时反馈，他们在对表单进行更改时会看到价格。这是好，因为他们不需要等待服务器处理信息，而服务器应该在提交表单时处理信息。