Javascript og sikkerhet

[Frezz]

Holder på å utvikle en side hvor jeg bruker Javascript og PHP. Bruker Javascript til visning og endring av innhold på siden, mens PHP bare brukes til behandling av data. Grunnen til at jeg gjør det slik, er fordi jeg er usikker på hvor sikker Javascript er med tanke på at dette er kode som kjøres på klientmaskinen.

 

Hvor lett er det å se javascriptkoden som kjøres? Er det mulig å endre variabeldata?

Endret 21. januar 2010 av Frezz

[MikkelRev]

Man trenger nok ingen krystallkule for å se javascriptkoden.

[martingee]

Man trenger nok ingen krystallkule for å se javascriptkoden.

 

Riktig det. Hvis du ikke har implementert noen form for sikkerhets-script så er det bare å lete seg frem til javascript-koden i kildekoden.

En annen mulighet er å sette på en tilgangskontroll av noe slag på serveren din. Slik at ikke andre kan aksessere f.eks. js-mappen der javascriptene dine ligger.

[xqus]

Dine misstanker er riktige. JavaScript er kun for endring av innhold på siden, sende data til server, gjerne også motta data fra server og deretter presentere den. Les: AJAX

 

Du kan så klart gjøre databehandlings funksjoner på klientsiden med javascript for en bedre brukeropplevelse, men denne må da også gjøres på nytt på serversiden.

 

En bruker kan ikke bare endre variabeldata i javascriptet. Men også selv kjøre hvilket som helst javascript på siden. Dette er som sagt noe som skjer lokalt på klientsiden, og er helt utenfor din kontroll.

 

Derfor; ikke stol på noe data, selv om du har javascript som skal "beskytte" deg.

 

En annen mulighet er å sette på en tilgangskontroll av noe slag på serveren din. Slik at ikke andre kan aksessere f.eks. js-mappen der javascriptene dine ligger.

Da er jo javascriptet ubrukelig, siden klientene ikke får tilgang til det.

Endret 21. januar 2010 av xqus

[martingee]

En annen mulighet er å sette på en tilgangskontroll av noe slag på serveren din. Slik at ikke andre kan aksessere f.eks. js-mappen der javascriptene dine ligger.

Da er jo javascriptet ubrukelig, siden klientene ikke får tilgang til det.

 

Dumme meg her skriver man tydeligvis raskere enn man tenker...

[Gjest]

AJAX Javascript poster til et PHP script

[xqus]

AJAX Javascript poster til et PHP script

Ikke nødvendigvis. Men halve, kanskje til og med hele poenget er hvertfall å prate med en applikasjon på serveren, ja. Men det visste vi jo allerede?

[Frezz]

Man trenger nok ingen krystallkule for å se javascriptkoden.

 

Riktig det. Hvis du ikke har implementert noen form for sikkerhets-script så er det bare å lete seg frem til javascript-koden i kildekoden.

En annen mulighet er å sette på en tilgangskontroll av noe slag på serveren din. Slik at ikke andre kan aksessere f.eks. js-mappen der javascriptene dine ligger.

 

Hva slags sikkerhets-script tenker du da på? Er det mulig å på noen måte skjule hvilke javascript filer man åpner og hvor de ligger?

Endret 22. januar 2010 av Frezz

[siDDis]

Det er heilt umogleg å skjule Javascript kode, uansett korleis ein vrir og vender på det.

[Jonas]

Å bruke Javascript sammen med et eller annet serverside-språk er verken mer eller mindre sikkert enn å ikke bruke det. Du skal uansett aldri stole på data du får inn. Og ja, det er selvfølgelig mulig å endre på variabler og det er ingen ting som hindrer noen i å manipulere POST-data.