Безопасность обработки HTML DOM

Question

Я создал веб-приложение в MVC и JQuery, которое отображает/добавляет/редактирует данные по запросу Web API.

Я вызываю свой веб-API и сохраняю информацию в HTML DOM для дальнейшей работы с моим приложением.

Вопросы:

1. Как предотвратить любое от просмотра и изменения данных, хранящихся в DOM?
2. Как запретить другим пользователям доступ к моему веб-API? Должен ли я шифровать данные для первой проблемы и использовать защиту на основе токенов для решения моей второй проблемы или есть какое-либо другое лучшее решение для данной проблемы?

Answer 1

Ответ на первый вопрос: вы должны обеспечить подключение к SSL. Если вы этого не сделаете, вы не должны передавать полную конфиденциальную информацию. Если вы используете SSL, может возникнуть необходимость отображать конфиденциальные данные в DOM. Как бы то ни было, не путайте это с попыткой использовать DOM для обфускации конфиденциальных данных, скрывая его в атрибуте, например.

Ответ на второй вопрос заключается в использовании аутентификации и авторизации, встроенных в ASP.NET. И это будет только ограниченный обзор, потому что это одна из самых больших областей ASP.NET.

Необходимо понять, что ответ запроса ASP.NET является конвейером, запросы будут распространяться через объекты, называемые промежуточным программным обеспечением. Средство промежуточного программного обеспечения может изменять запросы на пути, если они закодированы для этого, тогда они могут изменять ответ и останавливать транзит запроса по конвейеру. Затем ответ будет возвращаться через посредство, через которое он прошел (в обратном порядке), и, наконец, будет отправлен обратно пользователю, см. рис. 1.

фигура 1

Большинство (если не все) люди будут ставить аутентификацию и авторизацию в ППО. Аутентификация говорит, вы тот, кого вы говорите, обычно с помощью комбинации имени пользователя и пароля. Авторизация говорит, что если этот человек является тем, кем они говорят, они разрешают доступ к запрошенным ресурсам.

Вы можете использовать аутентификацию cookie, аутентификацию токена или аутентификацию файлов cookie и токенов. Cookie и токены используются для хранения бит о пользователе, эти биты проверяются каждый раз, когда пользователь получает доступ к конечной точке API (или серверному ресурсу). Печеньки и жетоны - это способ сохранить тот факт, что этот человек, кто они такие.

Вы можете использовать ASP.NET атрибуты для ограничения доступа к ресурсам:

[Authorize] 
public class SecretController 
{ 

} 

Если вы хотите посмотреть на более сложные проверки подлинности и авторизации инструментов, IdentityServer, кажется, де-факто решение «предприятие».

Я говорю о предприятии, потому что вы можете легко развернуть его в своих небольших приложениях, но это немного похоже на удар ноготь с кувалдой.