javascript - javascript客户端安全性

Closed. This question needs to be more focused。它当前不接受答案。












                            想改善这个问题吗？更新问题，使其仅通过editing this post专注于一个问题。

                        4年前关闭。



我担心javascript的安全性，因为客户端可以查看和编辑代码，我知道要克服这一点，我们可以使用ajax调用在服务器上运行关键进程。但是最近我正在解析云代码，其中一部分在服务器上运行。我想知道这是否是javascript安全问题的答案，是否安全？

最佳答案

Parse.com服务器端Javascript安全吗？

服务器端Javascript相对安全。对于Parse.com（我对他们的系统不太熟悉），它似乎接受客户端数据。客户端数据始终是不安全的。话虽这么说，您可以通过对其进行解析（双关语无用）来确保它的安全，以确保在运行它之前清除掉任何潜在的危险。

那么，该系统的安全性取决于您编写代码的能力。

服务器端Javascript安全吗？

与上述相关，只要以安全的方式编写，服务器端Javascript就可以是安全的。 IE，仅传递数据，任何需要保护的数据都保留在服务器上，并且仅由服务器更新。

例如，如果您要更新游戏分数（摘自一些parse.com示例），而不是将分数发送给服务器，则将触发分数更新的动作发送给服务器，然后让服务器解析该动作并添加到分数中。这很安全。本身不发送分数，因为分数可以由客户端操纵。

Parse.com客户端Javascript安全吗？

绝对不。客户掌握在敌人的手中-您永远无法相信客户不要操纵其数据和/或生成它的代码。

开发人员有责任确保您的数据仅由客户端无法处理的系统处理。

那么，parse.com安全吗？

呼应我已经说过的所有内容，parse.com就像您所做的一样安全。这仅取决于您对应用程序的设计水平。

服务器端Javascript是否可以解决安全问题？

服务器端的任何事物本质上都比客户端更安全。它是所有安全问题的一站式解决方案吗？否。错误的编码（IE：SQL注入）甚至开放的端口（IE：通过Web服务器转发电子邮件）仍然存在很多危险。因此，这种方法有两个方面，即保护服务器和保护代码。通常将这些内容分配给具有适当技能的人员（例如，不应该要求开发人员关闭服务器上的端口，除非没有其他人可以这样做，并且您已经用尽了香蕉来训练猴子）。

但是，并非所有内容都可以在服务器上运行。例如，捕获客户端输入并将其绘制到屏幕上是客户端仅需接受的两件事。这是您决定系统需求的地方。

以上面的示例为例，通过动作而不是分数将分数通过服务器发布到服务器，从本质上讲，它比发送分数更安全，但是在发送动作时仍然不是完全安全，因为玩家可以轻易地欺骗系统以发送重复的动作。

您可以开发一些逻辑以查看该动作是否允许，或者甚至可以使用更疯狂的逻辑来确定玩家的动作速率是否为人类，但是您永远都不能让任何人向服务器报告他们的得分，那将是最重要的。安全，并导致游戏不是很有趣。

决定您可以保护和不能保护的任何区域以及在应用程序（或游戏-我使用游戏，因为parse.com示例中使用的游戏）的哪个方面，始终是一种计算出来的风险。

与StackOverFlow相关的更多阅读

关于Javascript注入的特定漏洞，这里有一些不错的注释：
Javascript security risks?

这直接说明了客户端/服务器端的验证：
JavaScript: client-side vs. server-side validation

这里有一些关于“如何”最小化和混淆代码的注释：
How can I obfuscate (protect) JavaScript?

关于Javascript中的混淆，请参阅此处以获取有关其不安全性的大量注释（尤其是在注释中）：
Hardest-To-Reverse JavaScript obfuscator

关于javascript - javascript客户端安全性，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/28352160/

上一篇：javascript - java & moment js 上的不同日期时间格式化输出

下一篇：javascript - 使用 AMD 模块作为 Aurelia ViewModel

相关文章：

ios - 如何在 iPhone 上安全存储 AES key

java - 在 android 中使用 Parse 聊天

ios - Parse.com 查询和应用程序设计问题 : A long-running operation is being executed on the main thread

javascript - Fancybox 字幕位置

javascript - HTML 中不同图像的一张 Base64 编码图像

JavaScript for...in 循环有奇怪的结果

javascript - axios 请求并行

android - 如何使用 OWASP ZAP 对 Android 进行 MiTM 攻击？

php - 我应该使用用户可以运行的 PHP 脚本删除 MySQL 条目吗？

parse-platform - 如何防止 parse.com 用户看到他们的部分用户数据？又名在用户类上为每个字段设置 ACL？