Chrome擴展程序登錄安全

我有一個網站，用戶可以註冊，我想使用的是Chrome擴展，提供了一些功能，我有點擔心安全問題：Chrome擴展程序登錄安全

我的想法是，以顯示在登錄表單然後使用用戶名/密碼（使用HTTPS）向我的服務器發送ajax請求，然後將令牌存儲到用於跟蹤ajax調用的localStorage中。

這是不安全的嗎？爲什麼？我不明白這是如何更不安全，然後使用我的網站上的窗體例如或日誌從客戶端發送ajax請求js框架

2013-03-15 Matteo Pagliazzi

這是安全的，只要您在客戶端正確處理令牌方（即只提交給您的網站，並沒有其他網站）。危險之處在於，您本質上是在回顧Google和開源社區爲保護Chrome/Chromium免受XSS，CSRF和其他令牌盜取攻擊而做的工作。確保沒有其他站點可以從您的擴展中請求令牌（這是通過相同域強制在瀏覽器中完成的）。您將需要使用證書籤名來驗證請求的來源（您應該能夠重用您用於SSL的私有證書）。

即使所有客戶端請求源自您的擴展，也要將其視爲惡意，這一點很重要。服務器必須執行所有安全處理，就像客戶端完全受到攻擊一樣。在服務器端，你甚至不應該知道用戶是使用你的擴展還是普通的瀏覽器，因爲安全明智並不重要。

至於在客戶端存儲登錄憑證，您絕不應以純文本形式存儲密碼。您應該使用哈希值並將其提交給服務器。根據你的問題，這聽起來像你不會存儲用戶的憑證，只是一個令牌。如果是這種情況，並且令牌不包含任何敏感內容，則存儲它應該沒有問題。請確保您在服務器端過期令牌並定期強制重新認證。

答案編輯澄清和錯別字

來源

2013-03-15 19:24:36

Chrome擴展程序登錄安全

回答

相關問題