jquery - 使用 jQuery Ajax 的安全风险

Question

这个问题已经困扰我一段时间了，因此我正在寻找意见和解决方案，以消除该应用程序存在安全风险的可能性。

我使用 jQuery 做很多事情，但主要是用它来处理 jQuery 对话框窗口。很多时候，需要从表单上的字段中获取值，将该信息与 .serialize() 命令连接起来，并将其传递给 jQuery ajax 调用，以转到 PHP 文件进行数据库交互。

这是我的问题(最后)，

“猜测”PHP 处理的 url 可能是什么样子不是非常容易吗？
您可以在现代浏览器中打开源代码，然后单击链接查看包含 ajax 调用的完整 JavaScript 文件。

我可能会缩小 JavaScript 文件以进行混淆，但这并不是一种值得信赖的安全形式。

我正在使用 PDP 进行数据库访问，并为 SQL 注入(inject)攻击准备好语句，但是如果有人花时间查看，他们难道不能形成一个有效的 url 将其发送到数据库并插入他们想要的内容吗？

我不是在谈论入侵数据库来窃取信息，我更多的是在谈论插入恶意信息，就好像数据是从应用程序本身添加的一样。考虑将 50 美元的商品添加到您的购物车中，只需 25 美元。

是否就像将 ajax 请求从 GET 转换为 POST 并更改我的 PHP 文件一样简单？

编辑:此人已登录并经过正确身份验证。

只是想知道其他人在做什么。

谢谢!

Answer 1

你说得很对，任何稍微懂点技术的人都可以识别任何网络应用程序的公共(public)服务器端点。他们甚至不需要查看代码。他们可以使用 webkit/firebug 来跟踪请求，或者使用 Charles 等监控网络事件的程序。

这就是为什么您需要在服务器端代码中进行身份验证和授权处理。

身份验证通常由用户名和密码处理；这是验证用户身份的行为。

授权可以由服务器上的角色处理，它是一种检查，以确保用户可以执行他们想要执行的操作。

这两种机制到位后，即使用户知道某个网址，他们仍然需要“登录”并有权执行他们想做的事情。

想一想。如果您在线查看您的银行帐户信息，您可以轻松识别加载您帐户信息的请求。如果没有这些机制，什么可以阻止您简单地更改传递给服务器的帐户 ID 来尝试获取其他人的帐户信息？通过身份验证/授权，服务器知道即使它收到加载某些数据的请求，它也可以检查用户的详细信息以查看他们是否有权获取该数据，并拒绝该请求。