2

Как можно защитить данные пользователей, которые могут быть получены по средством Ajax запроса?

Например, на странице доски объявлений мы имеем кнопку "показать телефон пользователя". При нажатии, отправляется Ajax запрос на сервер с id объявления. Сервер принимает, ищет по id в базе данных номер телефона и отправляет его обратно пользователю в браузер.

Вопрос:

Имея все эти id объявлений, можно получить целый список номеров телефонов пользователей. Как защититься от этого? Я видел на некоторых сайтах помимо id в параметрах отправляют crc(hash), который равен беспорядочному набору символов. Если сервер не получает ПРАВИЛЬНЫЙ crc, то никаких данных не возвращается.

Как можно организовать это взаимодействие между клиентом и сервером через генерируемые ключи?

4
  • Я делал для каждого пользователя свой код, который хранился в куках у пользователя, и степень разрешения. А на сервере я уже проверял, имеет ли пользователь с данным хеш-тегом доступ к каким либо данным. И + я при каждом запросе изменял этот хеш у пользователя. Сложно, но безопасно, как по мне
    – Yuri
    20 июл 2017 в 13:33
  • @Yuri, Т.е. вы на сервере генерировали хэш, присваивали его через куку ползователю. Затем в Javascript доставали это значение и отправляли вместе с данными через Ajax?
    – Pavel
    20 июл 2017 в 13:39
  • @Yuri, получается под каждого посетителя нужно не просто генерировать этот код и присваивать через куку, но и записывать его в базу данных. Чтобы, когда придут данные от пользователя можно было сравнить, дейтствительно ли ему принадлежит этот хэш?
    – Pavel
    20 июл 2017 в 13:41
  • Ну примерно да.
    – Yuri
    20 июл 2017 в 13:50

1 ответ 1

0

Я тоже задавался этим вопросом и по-этому проворачивал такую схему:

При регистрации пользователя, в базу в запись информации о пользователи и в куки вносился особый хеш-код пользователя. Когда пользователь отправлял запрос на сервер, то там проверялся его хеш-код из куков и сверялся с информацией в базе, чтобы проверить, имеет ли он разрешение к данным. Если он имел разрешение, я генерировал пользователю новый хеш, который вносил в базу и в куки (в целях безопасности от злоумышленников, хотя может это и глупо).

И к тому же, я по этому хешу делал и вход пользователя. Чтобы не записывать его логин и пароль, я просто записывал в куки хеш.

Лично это мой подход, скорее всего есть лучше.

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.