javascript - 是否可以阻止浏览器访问文本文件，但仍允许 JavaScript 访问？

Question

以下代码位于 HTML 文件内，将本地 .txt 文件的内容读取到 Javascript 字符串变量中:

<script>
    window.onload=function(){
    var allText;
    readTextFile("/files/Textfile.txt");

    function readTextFile(file)
    // https://stackoverflow.com/a/14446538/8840617
    {
        var rawFile = new XMLHttpRequest();
        rawFile.open("GET", file, false);
        rawFile.onreadystatechange = function ()
        {
            if(rawFile.readyState === 4)
            {
                if(rawFile.status === 200 || rawFile.status == 0)
                {
                    allText = rawFile.responseText;
                }
            }
        }
        rawFile.send(null);
    }
}
</script>

JavaScript 代码继续解析该文本，从 allText 中提取特定的子字符串，然后最终在 HTML 中向用户显示该子字符串。

问题是任何访问者都可以通过在浏览器中单击“查看源代码”来找到文本文件的路径，然后他们可以导航到浏览器中的文本文件以查看完整的文件。

我不希望任何人能够看到此文本文件的完整内容。

那么，是否可以阻止访问者查看 .txt 文件，同时仍然允许我的 .html 网页以字符串形式从 .txt 文件导入数据？

如果不可能，我到底应该如何实现这个效果？

Answer 1

不 - 这是 security through obscurity 的尝试模型，而不是一个非常晦涩的模型。您不能信任客户或向其隐藏信息。如果脚本可以看到它，那么恶意或好奇的用户也可以看到它。

解决方案是在您的服务器上公开人们应该能够看到的内容，而不是更多。如果内容对于特定用户来说是私有(private)的，则您需要在他们请求时设置某种登录和身份验证。