使用 JSONP 的方式共享用户信息,是否存在安全隐患?

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

For Existing Member Sign In

This topic created in 2388 days ago, the information mentioned may be changed or developed.

假设存在应用 App1,App2,App3 与用户数据服务 UserServer, UserServer 已设置只接受来自 App1~3 的请求.

应用的页面中:

<script type="text/javascript" charset="utf-8" src="https://UserServer/FetchUserData/$objectName"></script>

脚本内容:

window.self.objectName={userDataObject};

应用的页面脚本:

this.userId=window.objectName.Id;
this.userAvatarUrl=window.objectName.AvatarUrl;

4 replies • 2019-10-14 16:18:06 +08:00

optional

Oct 14, 2019

https 没什么隐患，中间人看不到，放在 url 里唯一要担心的是日志泄露(因为 access log 会打印 url ）

virusdefender

Oct 14, 2019

如果 referer 验证是正确实现的，那应该问题不大

ragnaroks

Oct 14, 2019

@optional 嗯,考虑到这个了,只允许传递接受用的 objectName

@virusdefender 目前就是觉得 referer 可以伪造,可能泄露用户数据给恶意请求

virusdefender

Oct 14, 2019

@ragnaroks 那没关系啊，referer 在浏览器上是没法伪造的就够了，如果是脚本发请求，说明拿到了可用的 cookie/token，那本来就没办法。

一个 referer 可能验证错误的例子

example.com.[random]example.com