Ajax Security (1)

爱被打了一巴掌 2023-10-18 10:01 10阅读 0赞

下面的内容参考自： [http://www.whirlycott.com/phil/2005/04/15/security-in-an-ajax-world/][http_www.whirlycott.com_phil_2005_04_15_security-in-an-ajax-world]

文章中大概提到了采用Ajax的RIA在安全方面会遇到的问题，主要是如何限制用户访问受保护的数据。

文章中提到了3种方法，都是针对返回数据是XML格式的：

首先就是返回的XML数据的Tag是由服务器随机生成的，并在HTML中内嵌用来查询的XPath语句。具体做法是服务器首先生成正常内容的XML数据，其中的Tag都是有意义的。然后通过XSLT变化，把XML数据的Tag变成随机的。

这种方法由于在服务器进行XSLT变换，增大了服务器的开销；另外需要在使用该XML数据的HTML页面中嵌入准确的XPath语句，所以整合起来不方便。

其次就是在服务器动态生成的页面中嵌入UUID，作为HTTP请求头中的一个值发送给服务器。服务器可以验证Token是否正确来判断是否允许访问。

js 代码

1.  //Generated on the server and included as part of the dynamically generated HTML 
2.  var ajaxToken = “dff0194b-384f-43d3-0059-889247de5f88″;
3.  
4.  //Make a request for some data and include the token 
5.  var req = new XMLHttpRequest();
6.  req.setRequestHeader(”AJAX-Token”, ajaxToken);
7.

会带来的问题就是如果第三方需要使用你提供的服务的话，那么也需要你提供Token。

最后一种方法就是使用传统的HTTP Session来管理认证。当用户访问某个Ajax风格的网站时，在Session中存放一个允许他们访问受限资源的属性。当XMLHttpRequest发送请求的时候，它会发送当前网站中所有活动的session cookie。这种做法是较容易实现，而且较好的办法。

这种方法要求Ajax页面和XML数据需要在同一个域中，否则cookie发送不到。

[http_www.whirlycott.com_phil_2005_04_15_security-in-an-ajax-world]: http://www.whirlycott.com/phil/2005/04/15/security-in-an-ajax-world/