Безопасность запросов AJAX

Question

Просто сейчас я пишу проект, и я решил написать его с jquery и ajax запросами.

только вещь, я не знаю, достаточно ли она защищена?

, например, когда я проверить имя пользователя, при регистрации нового пользователя, я использую запрос JQuery Ajax,

я получаю массив существующих имен пользователей из БД (с JSON), а затем проверить, если new_username не inArray() существующих username s, я делаю другой запрос и регистрирую пользователя.

но как насчет безопасности? meybe hacker может найти способ изменить некоторые из моих заявлений if-else, и весь мой секретник будет тормозить.

Возможно, вы поможете мне разобраться в этой ситуации?

Благодаря

Answer 1

Почему вы реализации любого этого на стороне клиента?

Вы должны отправить имя пользователя/пароль через HTTPS в запросе AJAX и дать серверу только данные, необходимые для перемещения пользователя, не полное имя пользователя.

Даже надевая безопасность в сторону, что, если у вас есть миллионы пользователей? Вы собираетесь отправить этот список всем клиентам, чтобы они вошли в систему?

Answer 2

(В дальнейшем я предполагаю, что username это идентификатор, с помощью которого пользователь может войти, а не какой-то ник;))

1. Получение всех имен пользователей, как JSON плохо , Затем злоумышленник получает все зарегистрированные имена пользователей немедленно!
   Просто отправьте имя пользователя на сервер, подтвердите его и отправьте в качестве ответа «действительный» или «недействительный». I.e., проверьте наличие на стороне сервера .

2. Всегда подтвердить ввод данных пользователя на стороне сервера . JavaScript может быть отключен.

Update:

Это не имеет значения, участвует ли Jquery или нет. Все, что вы отправляете клиенту (и не хэшируется или зашифровано) может быть прочитано клиентом, это не имеет значения, является ли это XMLHttpRequest или «нормальным» запрос.

Вы отправили бы HTML-таблицу со всеми именами пользователей любому посетителю вашего сайта?Я надеюсь, что нет :)

---

Резюме:

• только отправлять данные, что клиент может иметь доступ.
• Подтвердите ввод пользователя на стороне сервера.
• Не доверяйте пользовательскому вводу.

Answer 3

Безопасность - одна из тех вещей, которые лучше всего делают на стороне сервера, если это возможно. Мой типичный подход к входу AJAX заключается в том, чтобы отправить имя пользователя и пароль хеширования MD5 или SHA1 на метод на сервере, который затем позаботится обо всех регистрационных данных. Детали этой реализации будут действительно зависеть от вашей серверной технологии, но в большинстве инфраструктур веб-приложений есть возможности для этого. Могут быть даже некоторые решения, которые включают библиотеки Javascript для обработки работы на стороне клиента.

Answer 4

Ajax не является заменой серверного кода. Хотя можно реализовать функции входа в систему и регистрации с помощью ajax, вам все равно придется проверять и хранить данные на сервере.

Более разумная реализация просто отправит запрос https на сервер, содержащий имя пользователя и пароль, на которые сервер будет отвечать yay или nay.