javascript - 如何使用 hwcrypto.js 检测使用 usb-token 的人

Question

我目前正在开发一个基于网络的签名系统使用hwcrypto当用户将 usb-token 设备插入计算机然后单击按钮时，它会提示选择证书并输入密码:

window.hwcrypto.getCertificate({lang: lang, filter: filter})
.then(function(cert) {
    window.hwcrypto.sign(cert, {type: hashtype, hex: hash}, {lang: lang})
    .then(function(signature){
        // call jquery ajax to do some important thing
        $.ajax({
            url: 'index.php?action=very_important_action',
            dataType: 'html',
            success: function(response) {
                console.log(response);
        });
    });
});

它有效，但我担心用户直接调用 ajax 函数而不使用 usb-token。我该如何保护它？

Answer 1

我想到了一些方法，但这取决于您的实现 -

1. 您可以在本地存储中设置 usb-token，被请求的页面会检查 usb-token 字段是否已在本地存储中可用。
2. 您可以使用 $.ajax.beforeSend 检查每个正在发出的 ajax 请求，并检查您是否有可用的 usb-token。
3. 您可以将 token 作为查询参数发送，并在请求的页面中检查包含 token 的参数是否存在。