如何将HTML5应用程序的JSON调用保护到服务器

Question

我目前正计划开发HTML5应用。 基本概念如下：

用户应该能够使用用户名和密码创建配置文件。 服务器应在Ruby on Rails中实现，并提供JSONP Api（用于跨域问题）。

因此，该应用程序将向服务器发送Ajax请求并从中获取响应。

我现在的想法是将第一个响应上的session_key（由服务器生成）传输回客户端。 然后，客户端必须使用此令牌进行身份验证。

但是现在我有一些问题。

• 我如何确保客户端的首次呼叫（当他传输用户名和密码时）？
• 我如何保护会话密钥免遭间谍窃听？

在安全方面，我是一个完全的菜鸟。 因此，如果我能找到一些在哪里看的提示，那将很棒。

Answer 1

使用SSL保护您的连接。 除了将's'放在'http';-)之后，这无需更改代码。

Answer 2

我曾使用一个校验和添加到ajax参数（使用提交的数据计算），然后将空ajax请求加密为一个字符串。

像sRequest = 459fdjnfdw4r908vn之类的东西。

sRequests保存我的数据（sUser = user＆sPass = pass＆iCheck = 34564）。

编辑：我的客户代码不是公开的，已编译为应用程序。