javascript - 基于 JavaScript 的 HMAC 安全性如何？

Question

我目前正在构建一个新的基于 SaaS 的应用程序，其中将包含 RESTful API。我想保护浏览器和 API 服务器之间的通信。为此，我计划使用“双腿”OAuth 方法。我的问题是，如果我使用 JavaScript HMAC 库在浏览器中进行加密，这种方法的安全性如何？这种方法不会暴露 key 吗？

Answer 1

关于基于客户端 Javascript 的“安全性”的一般观察:

• 您在客户端上用 Javascript 执行的任何操作对于该客户端来说都是完全可见的；您无法向用户隐藏任何内容
• 是的，如果您在 Javascript 中向客户端发送私钥，它们就不再是私钥
• 客户端发生的任何事情根本不可信；您甚至没有任何证据证明客户端正在运行您的代码，您看到的只是它的结果
• 如果您尝试使用一些客户端魔法来保护免受第三方侵害:能够造成任何损害的第三方通常也能够拦截您的服务器发送给客户端的所有 Javascript首先...
• 如果您使用 SSL 保护所述 Javascript 的传输免受所述第三方的影响...您不再需要任何客户端 Javascript 代码来为该 channel 添加更多保护

除此之外，我不完全确定谁应该对谁进行身份验证，以及您想对谁保密什么；但希望这些要点能够引起您的思考。