假设我有一些代码可以创建一个带有 JSON 服务调用的 HTML 页面。
如何防止他人复制粘贴源代码、调用服务并获取第一个用户的结果集？
如果我将域作为服务的参数或获取其他信息，例如用户名或密码，它们也可以被复制和粘贴并用于另一个域。
我没有看到防止这种情况的方法，还是我错了？
问问题
2674 次
1 回答
5
你是对的，没有办法绝对阻止这种情况，但你可以让它变得更加困难，你可以做到这一点，这样你就可以识别出滥用 API 或自己被黑客入侵的用户。
做到这一点的方法是使用证书（非对称加密）。每个客户端都有一个私钥和一个公钥，对于该客户端来说是完全唯一的。公钥是公共知识（通常存储在服务器或第三方数据库中，如 Comodo 或 Verisign）。私钥对客户端是私有的。服务器还有一个私钥/公钥。
每次客户端发出请求时，请求都会用服务器的公钥加密，并用客户端的私钥签名（加密）。服务器的密钥确保只有服务器可以解密请求，客户端的密钥确保只有客户端可以加密该请求，以便使用客户端的公钥完全可逆。
这意味着恶意用户只能以他/她自己的名义提出请求，因此您将知道谁在捣乱，或者您知道哪个用户被入侵，因此您可以通知他/她并禁用他们的帐户。这还可以防止其他用户嗅探网络并恢复其他用户的请求以执行重放攻击。
还有其他方法可以实现这一点，例如使用安全 cookie 来跟踪用户请求。我将为您发布一些有关安全 cookie 实施的有用问题的链接。其中一些适用于其他平台，但概念是相同的。
这有很多内容需要考虑。在开始实施之前，您可能需要做更多的阅读。
其他有用的问题：
于 2013-04-15T22:01:58.540 回答