Ajax Security (3) - Ajax的问题

深碍√TFBOYSˉ_ 2023-10-18 10:02 39阅读 0赞

以下内容参考自：[http://www.it-observer.com/articles/1062/ajax\_security/][http_www.it-observer.com_articles_1062_ajax_security]

Ajax安全的大多数问题来自于服务器端的有缺陷的实现。使用安全coding技术的良好设计会使得Ajax更加安全。  
其他问题：

*  新的技术：Ajax毕竟是一些新技术，在网上能找到的好的例子较少。
 *  非传统的设计：Ajax包括客户端和服务器两个部分，需要不同的技术。
 *  太多的脚本：Ajax导致过多的脚本以及与此对应的服务器页面。
 *  为了Ajax而Ajax的想法：这种想法是不正确的，Ajax会带来很多很cool的效果，但是与之而来的是相应的测试。
 *  不安全的通讯：Ajax调用传输的数据可能很小，但是这些数据可能是隐私和保密的。
 *  服务器端的访问控制：使用JavaScript过程来调用Ajax可能会掩盖明显的编程错误。
 *  服务器端验证：很重要。
 *  客户端验证：如果客户端是执行服务器返回的JavaScript代码的话，验证也是必须的。

**Ajax安全提示：**  
为了成功，需要从一个好的计划开始。集中精力来降低和简化Ajax调用，为响应创建标准的格式（一般是XML）。

*  遵循最佳实践。尤其包括检查访问控制和输入验证的缺陷；保证敏感数据通过SSL传输。
 *  不要认为服务器端的Ajax对访问控制和用户输入的验证可以取代服务器上的检查。使用Ajax不会减少验证的工作量，反而会加大。
 *  不要认为客户端的混淆可以包含你最重要的商业秘密。使用JavaScript是隐藏编程技巧和领先竞争者的很差的方式。
 *  最后，对你的开发团队进行严格的控制。使用Ajax可以达到很棒的效果，但是可以考虑把它们移到第二版再说，首先集中精力构建稳定的第一版。

<table style="border-right:#999 1px solid;border-top:#999 1px solid;font-size:12px;border-left:#999 1px solid;border-bottom:#999 1px solid;"> 
 <tbody> 
  <tr> 
   <td> <p>网站开发最佳实践的参考网站：</p> <p>Open Web Application Security Project (OWASP)</p> <p><a href="http://www.owasp.org/" rel="nofollow">http://www.owasp.org/</a></p> </td> 
  </tr> 
 </tbody> 
</table>

[http_www.it-observer.com_articles_1062_ajax_security]: http://www.it-observer.com/articles/1062/ajax_security/