0

Есть небольшой сайт/приложение. На frontend - AngularJS, на backend простенький скрипт на php, который отдает json. Все работает, не устраивает только то что шаблоны и т.д. можно спокойно скачать, просмотреть код шаблонов и т.д., т.к. это обычный html/js. Т.е. по сути "слить" frontend. Поделитесь пожалуйста опытом по защите подобных вещей, т.е. по сути вместо AngularJS можно поставить Ember.js и т.д., но вопрос защиты останется актуальным.

7
  • Чего вы хотите добиться этой защитой?
    – etki
    22 мая 2015 в 21:57
  • К примеру чтобы невозможно было просмотреть код шаблона, название переменных и т.д.
    – Гость
    22 мая 2015 в 22:09
  • Это я прекрасно понимаю. Зачем вам нужно, чтобы никто не увидел название переменной?
    – etki
    22 мая 2015 в 22:10
  • А разве это не повлияет на безопасность сайта/приложения в целом ? К примеру в php с этим вроде как получше, отдается готовая страница. Конечно исходник на php также можно просмотреть, но это будет сложнее сделать, а если грубо говоря, использовать шаблонизацию на клиенте, получается что к примеру имея пару файлов - index.html и допустим nav.html, можно перейти на nav.html и увидеть к примеру код шаблона страницы типа <a href="{url}">{anchor}</a>
    – Гость
    22 мая 2015 в 22:18
  • Это не повлияет на безопасность, пока там не происходит шифрация, которую вы объявили секретной. Вы можете придумать хотя бы один пример, как именно это позволит злоумышленнику сделать операцию записи/изменения данных, которая недоступна ему "вручную" через пользовательский интерфейс?
    – etki
    22 мая 2015 в 22:21

1 ответ 1

2

Во-первых, защититься невозможно в принципе. Как бы шаблон ни шифровался, при рендеринге на клиенте он на каком-то этапе будет неизбежно расшифрован (иначе как с ним зашифрованным вообще работать-то?) и запущен, и в этот момент пользователь без труда его прочитает в том или ином виде.

Во-вторых, в них просто нечего защищать, они выполняют безобидную работу по подготовке html-кода и никак не влияют на всё остальное. И, конечно же, в них в принципе не должны храниться никакие ключи пароли и проверки доступа. А если это не так, то это повод задуматься о правильности архитектуры. А подделать сам html-код можно и через веб-инспектор браузера без всяких шаблонов. Поэтому нужно взять за правило — всегда проверять правильность данных, присланных на сервер пользователем, а также наличие доступа пользователя к этим самым данным.

В-третьих, это касается не только шаблонов, но и всего кода вообще. При грамотной разработке приложения в нём нечего скрывать — все ключи, пароли и прочие секреты должны находиться где-то в отдельном конфигурационном файле. Всё остальное можно смело выкладывать в открытый доступ — примером тому являются многочисленные CMS (например, тот же WordPress) и полные исходные коды некоторых сайтов (Libre.fm, Diaspora, eqbeats из того что помню). Единственное исключение — жадность какие-то очень секретные алгоритмы обработки информации, но это вряд ли ваш случай.

1
  • Понял, спасибо :)
    – Гость
    22 мая 2015 в 22:44

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.