Безопасно ли отслеживание электронной торговли Google Analytics?

Question

С помощью Google Analytics вы можете отслеживать события электронной коммерции,

http://code.google.com/apis/analytics/docs/tracking/gaTrackingEcommerce.html

Мне было интересно, является ли это безопасным и надежным способом отслеживания этих транзакций.

Проблема, с которой я сталкиваюсь, заключается в том, что злоумышленник может добавлять новые события, поэтому, если это ваш способ хранения финансовых транзакций, их может изменить любой, кто увидит ваш код JavaScript.

Вот сценарий, в котором этим кодом можно злоупотреблять.

У вас есть клиент по имени Клиент C, он заходит на сайт и покупает продукт P, затем вы сохраняете транзакцию с помощью этого инструмента. Затем злоумышленник заходит на ваш веб-сайт и модифицирует ваш javascript и отслеживает 10 других покупок. Таким образом, ваши данные показывают, что клиент C купил 10 Ps, а когда вы выставляете счет клиенту C, он будет злиться на вас.

Таким образом, злоумышленник может атаковать ваших клиентов и нанести ущерб вашей репутации.

Я не прав, говоря это? Есть ли способ, которым вы могли бы это исправить? Мне кажется, что отслеживание чего-либо с помощью Javascript может быть подвержено подобным атакам, или могут быть любые способы сделать их безопасными или нет. Я не знаю, можно ли их назвать атакой подделки запроса или нет. Что ты думаешь?

Answer 1

Ого! Я бы никогда не использовал аналитику в качестве помощи для выставления счета клиенту по точным причинам, которые вы только что указали! Это замечательно, если вы хотите следить за транзакциями и, возможно, делать некоторые отчеты об этих транзакциях, но данные никогда не должны принимать 100% буквально, потому что есть множество причин, по которым некоторые транзакции могут не отслеживаться, а другие могут быть слегка ошибочными / дублируется. У вас должна быть система, в которой хранятся транзакции и выписываются счета-фактуры, хранящиеся на сервере.

Answer 2

Просто чтобы убедиться, похоже, что ваш взволнованный кто-то изменит код, который видят другие, что невозможно.Человек не может изменить JavaScript, который ваш сервер отправляет всем.Он может только изменить JavaScript, ваш сервер отправил ему .

Однако, кроме этого.Использование JavaScript для выполнения всего, что должно быть сделано на стороне сервера (например, отслеживание / запись покупок), - плохая идеяJavaScript предназначен только для просмотра вещей, которые вас не волнуют, если они изменены пользователем.