Ajax调用中的证书固定

Question

我相信我已经知道了答案，但是我想看看是否有人对此问题有更多的了解。 我已经在Android和iOS应用程序中进行了证书固定，以使它们对中间攻击者的安全性更高。 我很好奇，可以在执行Ajax调用的网站上做同样的事情吗？ 我认为不是因为可以在运输过程中修改Javascript代码，有人对此有任何经验吗？

Answer 1

您可能对此感兴趣： http : //caniuse.com/#search=HPKP 。 现代浏览器已经支持公钥固定。

关于阻止中间人攻击（或使他们更难以下手-在安全上下文中似乎“预防”也有相对含义）的出色文章： http : //blog.scottlogic.com/2016/02/01 /man-in-the-middle.html

而且，如果您喜欢冒险，可以使用TLS在JavaScript中的本机实现进行真正的低级开发： https : //github.com/digitalbazaar/forge/blob/master/README.md