HTML5 localStorage安全

Question

將localStorage用於敏感數據（假設當前的HTML5實現）會是好的還是壞主意？

我可以使用哪些方法來保護數據，使其無法被客戶端計算機訪問的人讀取？

Answer 1

壞主意。

1. 有人可以訪問機器總是能夠讀取localStorage，沒有什麼可以做，以防止它。只需在firebug控制檯中鍵入'localStorage'，就可以獲得所有鍵/值對的良好列表。
2. 如果您的應用程序中存在XSS漏洞，攻擊者可以使用存儲在localStorage中的任何內容。
3. 你可以嘗試加密它，但有一個問題。在客戶端上加密它是可能的，但意味着用戶必須提供密碼和，你必須依賴未經過充分測試的加密算法的JavaScript實現。
4. 當然可以在服務器端進行加密，但客戶端代碼無法讀取或更新它，因此您已將localStorage減少爲一個美化的cookie。

如果需要安全，最好不要發送給客戶端。不受你控制的東西永遠不會安全。

Answer 2

公共密鑰密碼學可用於防止任何類型的入侵。另外，可以使用數據完整性檢查（例如CRC或散列）來確保服務器驗證數據。