安全：AJAX帖子

Question

比方说，我有一个var即时生成（例如一个Facebook API调用返回用户ID）。然后我想使用jQuery的AJAX将这个var发送给我自己的服务器。

我的问题 - 这是安全的吗？在AJAX发送到我的服务器之前，有人会拦截并插入自己的值吗？如果这是不安全的，那么人们如何去做这样的AJAX帖子呢？

Answer 1

是的，除非您使用HTTPS，否则有人可能会拦截并更改该值。所以这基本上是解决方案，以确保安全，以及某种身份验证系统。除此之外，请确保您不在该var中存储任何秘密，因为您的用户可以轻松看到该值。

Answer 2

验证/ e.g http://graph.facebook.com/1303834107 :)拉动ID服务器端

Answer 3

可能有人拦截和AJAX发送到我的服务器之前，插入自己的价值？

这取决于你是指“某人”的意思。

如果你是在谈论一个第三方攻击者，则可能的攻击点是：

1. Facebook的服务器和浏览器之间。如果您可以选择对该请求使用SSL，那么这是在此处保护它的唯一方法。
2. 在用户的浏览器中。这要求攻击者已经损害了用户的计算机。对此你无能为力。
3. 浏览器与您的服务器之间。使用SSL来防御这一点。

如果你谈话的浏览器约用户，那么就没有什么可以做，以阻止他们改变数据。用户完全可以控制浏览器发送到服务器的内容。唯一的防御是让他们的浏览器脱离等式（这将涉及使用OAuth获得从您的服务器访问他们的Facebook帐户的权限）。