保護 jQuery AJAX 請求

Question

我正在開發一個 Chrome 擴展，它將使用 jQuery 通過 AJAX 請求發送數據。 我需要確保只有登錄用戶發送了請求。 這可能不是試圖保護 AJAX 請求本身的正確方法，因此任何建議都適用。

Answer 1

為了實現這一點，當用戶登錄時，您需要設置一個包含某種身份驗證令牌或會話 ID（通常是一些不可預測的字符串）的 cookie，這些信息也存儲在您的服務器上。

然后，您的 Ajax 請求可以包含來自當前瀏覽器 cookie 的身份驗證令牌作為 ajax 調用的參數，然后您的服務器可以驗證該令牌屬於合法用戶。

如果用戶未登錄，則不會有 cookie，因此不會有令牌。

Answer 2

你不能在客戶端保護 Ajax 請求，因為如果它包含在你的 JS 中，每個人都可以請求你的 API。 但是您可以選擇一些變通方法來與您的服務器進行更安全的交互：

• 您可以發送加密數據
• 您還可以混淆代碼以使其更難閱讀
• 使用 SSL 保護數據免受窺探者的侵害

編輯：正如您所提到的，如果您想確保用戶已登錄以執行某些操作，您可以使用另一個答案中提到的加密 cookie 和令牌。 但是如果你想阻止請求而不是拒絕它們，上面的解決方案可能會對你有所幫助。