Защита идентификаторов в Ajax-управляемых приложениях

Question

При создании приложений, в которых большинство событий пользовательского интерфейса управляются вызовами Ajax, мы создаем лучший UX, но при этом возникает дополнительная угроза безопасности, поскольку пользовательский браузер получает больше информации, чем хранится на сервере.В частности, определение ценностей.

Помимо дополнительной проверки на стороне сервера - мне любопытно, какие еще существуют "лучшие практики" при передаче идентификаторов клиенту.Я видел такие вещи, как хеширование или шифрование идентификатора перед его отправкой клиенту, но не знал, существуют ли какие-либо другие варианты.

Answer 1

Эта проблема напоминает мне, как WCF структурирует транспорт (SSL) в сравнении с безопасностью сообщений.Чем больше уровней безопасности у вас есть, тем лучше вы будете в конечном итоге.Если ваша дверь имеет только ручку, а не засов, насколько вы защищены?

Лучше всего использовать защиту транспорта (SSL) и сообщения на элементах, которые, по вашему мнению, чувствительны к вашему приложению.Вам нужен некоторый идентифицируемый токен, но вы всегда должны хранить токен в зашифрованном виде, как если бы вы хранили клиентские куки.Не позволяйте пользователям запрашивать идентификаторы, которые вы хотите сохранить в тайне.

Схемы шифрования могут быть разными, но вы можете реализовать любой уровень защиты, какой вы считаете нужным.

Answer 2

Насколько я знаю, использование https является наилучшей практикой для отправки / получения важной информации.