Sicherheit von AJAX-Anfragen

Question

Gerade jetzt schreibe ich ein Projekt, und ich beschloss, es mit jquery und ajax Anfragen zu schreiben.

einzige Sache, ich weiß nicht, ist es sicher genug?

zum Beispiel, wenn ich den Benutzernamen überprüfen, wenn neue Benutzer registrieren, verwende ich jQuery Ajax-Request,

bekomme ich die Reihe von bestehenden Benutzernamen von db (mit json) und dann überprüfen, ob new_username nicht inArray() von vorhandenen username s, mache ich eine andere Anfrage und registriere den Benutzer.

aber was ist mit Sicherheit? Meybe Hacker kann den Weg finden, einige meiner if-else Aussagen zu ändern, und meine ganze securite bremst.

vielleicht helfen Sie mir, diese Situation zu verstehen?

Dank

Answer 1

Warum setzen Sie jede dieses clientseitige?

Sie sollten den Benutzernamen/das Passwort über HTTPS in einer AJAX-Abfrage senden und den Server nur mit den Daten antworten lassen, die für den Benutzer erforderlich sind, nicht die gesamte Benutzernamenliste.

Selbst die Sicherheit beiseite legen, was ist, wenn Sie Millionen von Benutzern haben? Du wirst diese Liste an alle Clients senden, damit sie sich einloggen können?

Answer 2

(Im Folgenden Ich gehe davon aus, dass die username die ID ist, mit dem ein Benutzer anmelden kann, nicht irgendeine Art von Spitznamen;))

1. bekommen alle Benutzernamen als JSON schlecht . Dann erhält ein Angreifer alle registrierten Benutzernamen sofort!
   Senden Sie einfach den Benutzernamen an den Server, validieren Sie dort und senden Sie entweder "gültig" oder "ungültig" als Antwort. Das heißt, überprüfen Sie die Verfügbarkeit auf der Serverseite.

2. Always validieren die Benutzereingabe auf der Server-Seite . JavaScript kann deaktiviert werden.

Update:

Es spielt keine Rolle, ob jQuery beteiligt ist oder nicht. Alles, was Sie an den Client senden (und ist nicht gehasht oder verschlüsselt) kann vom Client gelesen werden kann, ist es egal, ob es sich um ein XMLHttpRequest ist oder eine „normale“ Anfrage.

Möchten Sie eine HTML-Tabelle mit allen Nutzernamen an einen Besucher Ihrer Website senden?Ich hoffe :) nicht

---

Zusammenfassung:

• nur Daten senden, dass der Client Zugriff haben darf.
• Überprüfen Sie die Benutzereingabe auf der Serverseite.
• Vertraue niemals Benutzereingaben.

Answer 3

Sicherheit ist eines der Dinge, die am besten Server-Seite getan wird, wenn möglich. Mein typischer Ansatz für die AJAX-Anmeldung besteht darin, den Benutzernamen und ein MD5- oder SHA1-Hash-Passwort an eine Methode auf dem Server zu senden, die sich dann um alle Anmeldedetails kümmert. Die Details dieser Implementierung hängen wirklich von Ihrer serverseitigen Technologie ab, aber die meisten Webanwendungs-Frameworks verfügen über entsprechende Einrichtungen. Es kann sogar einige Lösungen geben, die Javascript-Bibliotheken enthalten, um auch die Client-Seite zu bearbeiten.

Answer 4

Ajax ist kein Ersatz für serverseitigen Code. Während es möglich ist, Anmelde- und Registrierungsfunktionen mit ajax zu implementieren, müssen Sie dennoch Daten auf dem Server validieren und speichern.

Eine vernünftigere Implementierung würde einfach eine https-Anfrage an den Server senden, die den Benutzernamen und das Passwort enthält, auf die der Server mit einem Yay oder Nein antworten würde.