使用Web加密API驗證JavaScript中的Browserid斷言

Question

在Web Cryptography API中提出的Web瀏覽器中添加的JavaScript運行時環境是否允許我們使用JavaScript在瀏覽器中安全地驗證browserid assertions？

Answer 1

您可能已經在Javascript中驗證了客戶端的BrowserID聲明，但問題是您不能信任客戶端。

例如，用戶可以通過代理服務器運行代碼，該代理服務器更改Javascript以始終聲明斷言是有效的。除非您正在進行服務器端驗證，否則您的服務器代碼將很容易受到客戶聲稱一切都很好，而事實上該斷言是虛假的。

任何瀏覽器API都不會改變這樣一個事實，就服務器而言，不能依賴客戶端做正確的事情。服務器需要自己進行驗證。