安全性：AJAX帖子

Question

假设我有动态生成的var（例如，返回用户ID的Facebook API调用）。然后我想使用jQuery的AJAX将此var发送到我自己的服务器。

我的问题 - 这是安全吗？在将AJAX发送到我的服务器之前，有人可以拦截并插入自己的值吗？如果这不安全怎么办呢？

Answer 1

是的，有人可以拦截它并更改值，除非您使用HTTPS。因此，这基本上是使这种安全的解决方案，以及某种认证系统。除此之外，请确保您不会在该var中存储任何秘密，因为您的用户可以轻松地看到该值。

Answer 2

验证/拉出ID服务器端，例如http://graph.facebook.com/1303834107：）

Answer 3

  

在将AJAX发送到我的服务器之前，有人可以拦截并插入自己的值吗？

这取决于你对“某人”的意思。

如果您正在谈论第三方攻击者，那么可能的攻击点是：

1. 在Facebook的服务器和浏览器之间。如果您可以选择为该请求使用SSL，那么这是在那里保护它的唯一方法。
2. 在用户的浏览器中。这要求攻击者已经破坏了用户的计算机。你无能为力。
3. 在浏览器和服务器之间。使用SSL来抵御这种情况。

如果您正在谈论浏览器的用户，那么您无法阻止他们更改数据。用户可以完全控制他们的浏览器发送到您的服务器的内容。你唯一的防御就是将他们的浏览器排除在外（这将涉及使用OAuth获得从服务器访问其Facebook帐户的权限）。