Блог

Допустим, у меня есть сгенерированный php файл javasrcipt, содержащий имя пользователя, идентификационный номер и адрес электронной почты, в который в данный момент выполнен вход. Было бы просто document.location.поиск по href не позволяет удаленным сайтам определять текущего вошедшего в систему пользователя?

Будет ли это безопасно?

 if(window.document.location.hostname == 'domain.com')
var user = {
          name:'me',
          id:234243,
          email:'email@email.com'
};
else alert('Sorry you may not request this info cross sites.');
  

Изначально это кажется мне безопасным.

РЕДАКТИРОВАТЬ: изначально я думал, что это очевидно, но я использую файлы cookie для определения текущего пользователя, вошедшего в систему. Я просто пытаюсь предотвратить междоменный доступ к информации о пользователях. Например, если оператор if был удален, вредоносный сайт A мог внедрить файл javascript и получить доступ к информации о пользователях. При добавлении инструкции if пользовательский объект js никогда не должен появляться. Межсайтовый ajax не поддерживается, поэтому вредоносный сайт может попытаться определить пользователя, вошедшего в систему в данный момент, только с помощью вставки javascript.

ПРАВКА 2: Будет ли безопасна проверка моего http_refer с помощью php? Что, если кэширование также включено для клиента? Например, если пользователь посещает мой сайт A, где загружен пользовательский скрипт, а затем позже посещает сайт B, вредоносный сайт, будет ли скрипт кэшироваться, таким образом, минуя необходимость для сервера проверять http_refer пользователя?

По сути, вы говорите: «вот ключи от банковского хранилища, вот расписание охраны, а вот расписание персонала. Но, эй, если вы не из компании Acme Security, притворись, что я тебе этого не давал «.

«о, конечно, без проблем, давай я просто притворись, что порву эту записку, и поеду арендовать большой грузовик, чтобы вывезти содержимое твоего хранилища с помощью»

Вы действительно просто не хотите пробовать что-то подобное. Предположим, я запускаю вредоносный сайт; что мне делать?

 <script>
RegExp.prototype.test = function() { return true; };
</script>
<script src="http://yoursite.example.com/dynamicjs.php"></script>
<script>
alert("Look at the data I stole: "   user);
</script>
  

Нет, то, что у вас там есть, не является «безопасным» в том смысле, что оно раскроет эти детали любому, запрашивающему HTML-страницу, содержащую этот JavaScript. Все, что им нужно сделать, это просмотреть текст (включая скрипт), возвращаемый сервером.

К чему это сводится, так это к следующему: либо вы аутентифицировали другой конец к своему удовлетворению, и в этом случае вам не нужна проверка в JavaScript, либо вы этого не сделали, и в этом случае вы вообще не хотите выводить детали в ответ. В этом if заявлении на стороне клиента нет никакой цели. Попробуйте это: http://jsbin.com/aboze5 Будет указано, что вы не можете запросить данные; затем выполните просмотр источника и обратите внимание, что вы можете видеть данные.

Вместо этого вам нужно проверить источник запроса на стороне сервера и вообще не выводить эти данные в скрипте, если источник запроса не аутентифицирован.

Обновление 1: Ниже вы сказали:

Я специально пытался определить, является ли document.location безопасным.href может быть подделан.

Да, document.location может быть подделано путем затенения document символа (хотя вы могли бы это обнаружить, если бы достаточно постарались):

 (function() {
    var document; // Shadow the symbol

    document = {
      location: {
        href: "http://example.com/foo.html"
      }
    };

    alert("document.location.href = "   document.location.href);
})();
  

Живая копия

Междоменные проверки должны выполняться внутри браузера, ничто на уровне вашего кода JavaScript не может сделать это надежно.

Но это действительно не имеет значения. Даже если это не могло быть подделано, приведенный пример кода не защищает данные. К моменту завершения проверки на стороне клиента данные уже были отправлены клиенту.

Обновление 2: Вы добавили примечание о проверке HTTP_REFERER заголовка (так в оригинале) (да, он действительно написан с ошибкой). К сожалению, нет, этому нельзя доверять. HTTP_REFERER может быть подделано, и отдельно это может быть подавлено.

Не по теме: Вы, вероятно, уже делаете это, но: При передаче личных данных, которые вы обещали сохранить в тайне (я не знаю, есть ли у вас, но надеюсь, что так), используйте HTTPS (например, SSL). Но важно помнить, что, хотя HTTPS гарантирует, что данные не могут быть прочитаны при передаче, он ничего не делает для проверки подлинности источника запроса. Например, вы знаете, что диалог безопасен (в пределах разумного и текущей практики), но вы не обязательно знаете, с кем вы разговариваете. Вот где в дело вступает аутентификация.