извините, если я буду звучать немного глупо, но эта вещь запутала меня до глубины души, и я искал, как сумасшедший в сети без какого-либо окончательного ответа, поэтому я надеюсь, что кто-то пролил бы больше света на этот вопрос.
Теперь я хочу создать сайт портала, и мой клиент требует, чтобы все было в AJAX-формате, поэтому я играл с ASP.NET AJAX 4 и клиентским шаблоном сайта и веб-сервисом, и, конечно же, производительность JASON превосходна , но мой код веб-службы будет общедоступным, потому что все, что доступно для сценария JAVA, доступно любому, поэтому, чтобы прочитать это, я должен:
- использовать SSL, но это сайт портала, и интерфейс не должен использовать SSL
- Аутентификация, будет ли это нормально, но для бэкэнда, а не для фронтэнда, так как логин не требуется.
после прочтения, как я уже упоминал, я пришел к следующим подводным камням при использовании веб-сервиса с AJAX и надеюсь, что есть решение или хотя бы способ повысить безопасность
DOS :
Я прочитал несколько статей, в которых предлагается, чтобы вы ограничивали использование IP-обнаружения и какое-то время блокировали этот запрос, но вот некоторые вещи, о которых я беспокоюсь
- повлияет ли это на поисковые роботы?
- сможет ли хакер обойти это с помощью прокси или другого средства?
Session HighJacking :
это страшно, я до сих пор не знаю, как это может произойти, когда вы используете членство в ASP.NET, я думал, что это довольно надежная система членства!
и сможет ли хакер украсть чей-то пропуск через этот метод?
способ скрыть ваш код или зашифровать его :
я думаю, что я дурачу себя здесь, потому что я упомянул, что если это общедоступно для java-скрипта, то оно открыто для всех, но мой клиент не хотел бы, чтобы люди видели логику и функцию написания кода.
Скрыть Webserivce:
например, если вы используете fiddler, вы можете увидеть в RAW-данных путь, например, www.mysite.com/toparticles/getTopArticles(10), снова это пугает мой клиент, и я попытался отключить WSDL и документацию в webconfig, но это только блокирует прямые доступ к файлу и больше ничего или я не прав! Есть ли способ скрыть путь к веб-сервису?
В общем, моя главная задача - не допускать взлома любых моих веб-сервисов и максимально скрывать мой код.
поэтому я параноик, так как на внешнем интерфейсе я собираюсь в основном получать данные, но опять же я могу дать пользователю возможность сохранить, например, его настройки виджетов в БД и т. Д., И это не произойдет Таким образом, указанные выше угрозы безопасности действительны.
Я надеюсь, что кто-то также может поделиться своим опытом по этому вопросу,
заранее спасибо.