使用Javascript XmlHttpRequest和PHP保护Web服务调用

Question

因此，在游戏中，我希望能够让客户端（Web浏览器）与服务器之间的所有功能通过AJAX调用与PHP Web服务进行交互。这是实现此类功能的一种非常简单的方法，除了它有一些主要缺点：

1. 使用网络嗅探器的任何人都可以看到请求的格式（除非他们使用SSL）并复制它们
2. 使用浏览器玩游戏的任何人都可以查看包含的Javascript文件，看看提交XHR的情况

因此，为了解决这些问题中的第一个问题，我将使用与服务器的HTTPS连接（这是我如何实现SSL的正确性？），对于这两个问题中的第二个，我能想到的是混淆/最小化我的Javascript代码。

有没有人对如何验证我的PHP文件正在使用的Web服务调用有什么想法？如果我在客户端使用用户名/ PW，则攻击者只需查看Javascript文件即可查找凭据。如果我尝试使用IP地址作为一种身份验证方法，那么我觉得这只会打开另外一堆蠕虫。我基本上希望确保Web服务调用来自游戏客户端。

Answer 1

Answer 2

这里根本没有胜利。严重的没有。混淆不是安全。对于游戏而言，这可能已经足够了，但是不要将其用于安全性非常重要的任何事情。

你可能会喜欢尝试智取黑客的挑战，但你不能，有太多的计算机科学巫师无限期地掌握他们的手。尝试将FTP服务器保持打开状态一天。