security - 显示数据时的安全问题

Question

我们是一家产生潜在客户的公司，并且开发了一个应用程序，我们的客户可以在其中管理他们的潜在客户和用户。我们的客户是使用我们的网络应用程序来管理他们的潜在客户的其他公司。

现在我们的客户希望使用我们的 Web 应用程序中的一些数据并将其显示在他们自己的网站上，因此我们开发了一个小型实用程序，在其中添加一些代码行，他们就能够从我们的 Web 应用程序在他们自己的网站上显示他们自己的数据。

现在我的问题是，当有人查看应用程序页面的源代码时，他们可以看到用户凭据，任何人都可以复制粘贴该代码并在浏览器中运行它并可以看到数据。

我们正在尝试做与 AdSense 相同的事情，唯一的区别是 AdSense 在这里显示任何广告，我们将只显示我们客户的数据。

如何停止这个问题？

Answer 1

如果最终用户可以通过查看源查看登录信息，那么听起来您要么在浏览器中进行 ajax 调用，要么使用内联框架。

简短的回答：你无法挽救它。

正确的做法是让您的客户端 Web 服务器向您的 Web 服务器发出调用以提取所需的数据，然后对其进行格式化并将其呈现给浏览器。

这样，登录信息仅在服务器之间共享，最终客户端浏览器不知道它最终来自哪里。

关于 AdSense 的机制：他们真的不在乎任何人都可以单独访问数据。检查一下：他们喜欢任何人都可以访问这些数据的想法。这不仅是不安全的信息，他们还希望将其公开。考虑到这一点，他们的解决方案不是您应该追求的。