安全jQuery Mobile + Phonegap

Question

我是智能手机和平板电脑开发Html 5的新手，现在正在使用Html 5，CSS，jQuery Mobile和PhoneGap项目。

应用程序通过XMLHttpRequest执行的SOAP Web服务与服务器进行通信。如果我不得不求助于插件，数据加密等，那么新手如何知道我必须在应用程序中解决安全问题，我需要使用它来保证安全。

验证用户名和密码不使用表单。不要在页面之间传递参数。我没有使用PHP。我不知道它是否可以绕过代码的可见性，因为我正在为Android和iOS开发。

我暂时没有经验使用全局变量.Js保存用户名和密码以访问其他Web服务方法。 请就此安全问题请求帮助，因为我不知道从哪里开始，继续和完成。

谢谢！

Answer 1

有一个非常详细的PhoneGap＆amp;安全性：https://github.com/phonegap/phonegap/wiki/Platform-Security

简而言之，如果您担心“无线传输”数据传输，请使用带有SSL的服务器，就像在Web应用程序中一样。如果您担心设备加密，则会将其委派给操作系统的默认安全机制。

Answer 2

您的特定技术堆栈与任何其他Web应用程序没有什么不同。您仍然容易受到大量漏洞的攻击。<​​/ p>

从它的声音来看，您只关心应该考虑的客户端漏洞。如果是这种情况，您应该考虑许多事项。

1. 如果您使用的是HTML5，请确保您使用的任何本地API都受到保护。 OWASP有一个很好的最佳实践列表https://www.owasp.org/index.php/HTML5_Security_Cheat_Sheet，其中一些可能适用于您的特定应用。
2. 您要为XSRF或CSS（跨站点脚本或XSS）实施的任何类型的防御都将是徒劳的。唯一可以全面运行的防御类型是在应用程序的服务器端实现的防御（在本例中为PHP）。
3. 此外，如果您希望SSL传输数据，则必须由服务器（SOAP Web服务端点）处理。如果无法实现，那么更复杂的替代方案是使用WS-Security（http://en.wikipedia.org/wiki/WS-Security）

Answer 3

与webapps相同的安全性和考虑因素，并且永远不要使用来自apis的私钥，例如你的phonegap项目中的parse，stackmob，google或bing地图。

Answer 4

除了跟进其他评论之外......我建议使用HTTPS / SSL + OAUTH（或其他一些基于令牌的机制）而不是为每个请求传递用户名/密码......虽然简单的HTTP身份验证可以正常工作