使用JavaScript驗證主頁是否有合理的安全方式？

Question

有沒有使用JavaScript驗證主頁的方法？我知道一些方法，但它們非常容易「破解」，因爲用戶名和密碼存儲在腳本本身 - 作爲數組。

你們是否知道只有一個或兩個子頁面進行身份驗證的好方法？

Answer 1

不，絕對沒有辦法使用純JavaScript驗證用戶。

JavaScript在客戶端執行，因此完全且易於操作。

身份驗證總是需要在服務器端完成。 JavaScript可用於將憑據發送到服務器，但從不檢查這些憑據。

Answer 2

只要最終決定用戶是否看到一些內容是在客戶端上完成的，它將很容易被破解。

可能工作的唯一方法是，如果您以某種方式使用密碼對內容進行編碼，以便只要密碼不知道，就無法訪​​問所需的信息。但即便如此，這可能很容易被暴力破解，實施起來會相當複雜。

Answer 3

這是不可能的。在未經授權的會話中發送給客戶的任何數據應視爲公開。在未經授權的會話中發送給客戶端的任何敏感數據（例如：密碼）都應該被視爲受到威脅。從客戶收到的任何數據都應被視爲不可信。

您只能信任服務器。

當然，你可以使用的NodeJS

Answer 4

寫你的服務器端代碼在JavaScript這當然是可能的：你可以加密網頁和使用JavaScript來解密。不過，這樣做很少有意義。

Answer 5

噢，是的，有一個安全的解決方案。它被稱爲「挑戰/反應技術」。它的工作原理是這樣的：

• 服務器發送到客戶端是一個挑戰（有些隨機字符串）
• 客戶端連接到接收chalenge密碼（由用戶輸入），使這個組合的哈希
• 服務器做同樣的（從DB挑戰+密碼），並驗證平等
  • ，如果一切正常，服務器登錄用戶網站

安全是通過這種方式實現的，該服務器只發送一次挑戰！如果有人捕捉到客戶的迴應，那麼它就不適用，因爲cos服務器不會再次發送這個挑戰。