gwt - 在 GWT RPC 调用中编码请求负载

Question

我正在使用 GWT 创建我的网络应用程序。

当从客户端(浏览器)进行 RPC 调用时，在检查元素中我的请求负载如下:

7|0|8|https://xxxx.xxxx.in/TestProject/in.TestProject.Main/|87545F2996A876761A0C13CD750EA654|in.TestProject.client.CustomerClassService|check_User_Login|java.lang.String/2004016611|in.TestProject.Beans.CustomerBean/3980370781|UserId|Password|1|2|3|4|3|5|5|6|7|8|6|0|0|0|0|0|CustId|0|0|0|0|0|0|0|0|0|

在此请求中，用户名、密码和 custid 等所有详细信息都显示在请求负载中。

我的问题是，是否可以对请求负载中的这些细节进行编码或隐藏？

Answer 1

您正在查看错误的抽象级别。在有效载荷中编码/“隐藏”这些值有什么意义？您在服务器和客户端之间交换的所有内容都可能被拦截...除非您使用 HTTPS。它确保服务器和客户端之间的安全/加密通信。不要试图变得“聪明”，只加密部分通信/有效负载，只需使用 HTTPS。

But my concern is client itself should not be able to seen which method call we are making, parameter type in the request, parameter values etc. It should be hidden from client.

但是这些参数值是由用户自己输入的，或者是硬编码在应用程序的某个地方(用户将始终能够看到/解密，因为他的浏览器必须这样做)。所以你想要实现的是 security through obscurity这绝不是一个好主意。我会将注意力和精力集中在保护端点(GWT-RPC 服务)、验证发送到那里的输入等方面。

您必须记住一件事 - 用户可以访问您应用程序客户端部分的源代码(已编译和缩小，但仍然如此)。所以:

• 他将始终能够弄清楚如何与您的服务器通信，因为您的应用程序必须这样做。
• 他可以修改应用程序以发送恶意请求 - 即使您创建了一些假设的参数/地址编码方式。只需在编码完成之前找到一个地方，瞧。 Firebug 和其他开发人员工具将在这方面为您提供极大帮助。

所以以这种方式“保护”客户端是没有意义的(当然，CSRF、XSS 等。应该是你的问题)，恶意用户总是会绕过它，因为你必须给给他所有的工具来做到这一点 - 否则，“普通”用户(或者更确切地说，他的浏览器)将无法使用您的应用程序。