主要討論安全問題！如果不明白的請繞道，謝謝。最近做這個一個Restful的東西。看了很多相關的資料。比如我選一個簡單的驗證每一個請求url部分帶上auth_token思路是這樣的使用了SSL1，用戶先登陸，然后返回這個token給他。2，然后用戶在每個API請求帶上這個token。因為都使用https那么就是相對安全?？墒侨绻荍S+html的項目。那么使用這個API就會在Ajax里面直接看到這個請求的token。那么其他除了這個人之外的人就可以用這個token做各種請求。那么是不是對于ajax這種情況如何保證相對安全。同時不重寫Restful api
2 回答
慕的地6264312
TA貢獻1817條經驗 獲得超6個贊
Token 的生成是和用戶賬號相關的（除非你不這樣做），登陸成功之后生成的 Token 應該只有這個用戶的請求才能用，再加上你是 ssl 加密，除非賬號被盜，否則就算拿到了 Token 也沒用。另外你也可以在服務端對 Token 有效性進行進一步驗證，這里面可用的方法就多了去了，打開腦洞想吧。
神不在的星期二
TA貢獻1963條經驗 獲得超6個贊
非 JS+html 項目去下載個 http 監控軟件也很容易看到，如果你不想在 url 中暴露 token 可以把他們放在 header 或 cookie 里
走 https 數據都是加密的，所以即使被不法分子監聽到，他拿到的也是加密的內容，沒什么卵用
再安全點你可以采用動態 token，這里提供個思路，即每次請求都返回一個新的 token 同時之前的 token 失效，再請求就用新 token
添加回答
舉報
0/150
提交
取消