ajax - Ajax 安全性：如何确保发送回服务器的数据是由我的代码生成的？

Question

如果这个问题对你来说听起来很幼稚，我提前道歉。问题是这样的：我有这个函数，我希望回调函数通过 Ajax 将“响应”发送回我的服务器。

function FbInviteFriends()
    {
    FB.ui({
    method: 'apprequests',
    message: 'Hi! Join me on XXXXXXX'
    },
    //My callback function
    function(response){
                 //Send response to my server
    }

有没有办法检查我将在服务器端接收到的响应实际上与调用回调函数时得到的响应相同，并且用户没有在客户端修改响应？

谢谢！

Answer 1

有几种方法，但所有方法都遵循相同的原则——你永远无法确定，所以请谨慎对待并验证。

也就是说，放置至少一个使用约束的一种方法可能如下所示：

• 访问的页面：生成令牌 GUID。在客户端渲染它。
• 将创建/使用的那一刻与用户配置文件一起存储在用户会话中。
• 客户端将令牌附加到所有 Ajax 帖子。
• 令牌在服务器上验证；必须匹配 SessionID、用户配置文件（如果有）和最大使用超时。

如果验证失败，则中止操作。