安全的Javascript代碼

Question

我在Web應用程序中有幾個.js文件，其中包含一些邏輯，包括AJAX請求。

我知道這些文件是“客戶端”文件，並且傳遞給客戶端的所有文件都是可讀的，但是，除了縮小.js文件的做法（...這不是“保護系統”，而是“我正在努力尋找一種解決方案，例如，我有一個ajax請求，該請求將帶有確定鍵和確定值的字典發送到Web服務，並且我想保護這些安全請求，以使其更安全，並使攻擊者“不易理解”。

有人知道嗎？

謝謝。

Answer 1

混淆：

嘗試使用YUI Compressor 。 這是一個非常流行的工具，由Yahoo UI團隊構建，增強和維護。

您還可以使用：

• Google Closure編譯器
• UglifyJS

私有字符串數據：

將字符串值設為私有是另一個問題，而混淆並不會帶來太大好處。 當然，通過將源打包成亂碼，最小的亂七八糟，可以通過模糊 性獲得輕便的安全性 。 在大多數情況下，查看源的是您的用戶，客戶端上的字符串值是供他們使用的，因此通常不需要這種私有字符串值。

如果您確實擁有一個您從未希望用戶看到的價值，那么您將有兩個選擇。 首先，您可以進行某種加密，該加密在頁面加載時解密。 那可能是最安全的選擇之一，但也可能是很多不必要的工作。 您可能可以對一些字符串值進行base64編碼，這會更容易..但是真正想要這些字符串值的人可以輕松地對其進行解碼 。 加密是真正阻止任何人訪問您的數據的唯一方法，大多數人發現加密比他們需要的安全性更高。

邊注：

眾所周知，JavaScript中的混淆會導致一些錯誤。 混淆器對此有所改善，但是許多公司認為他們發現縮小和gzipping帶來了足夠的好處，而增加混淆所帶來的節省並不總是值得的 。 如果您想保護自己的源代碼，也許您會認為值得這樣做，只是使您的代碼更難閱讀。 JSMin是一個很好的選擇。