使用随机 URL 代替密码可以吗？

Question

使用这样的随机字符构造的 URL 是否被认为是“安全的”？

http://example.com/EU3uc654/Photos

我想将一些文件/图片库放在网络服务器上，仅供一小部分用户访问。我主要担心的是这些文件不应该被搜索引擎或在我网站上闲逛的好奇的高级用户所获取。

我已经设置了一个 .htaccess 文件，只是为了注意单击http://user:pass@url/链接在某些浏览器/电子邮件客户端上无法正常工作，提示对话框和警告消息使我不太懂计算机的用户感到困惑。

Answer 1

不，不是真的，这只是通过默默无闻的安全性，根本就没有安全性。任何可以从互联网直接访问而没有某种形式的真正保护的东西都会被发现、索引和缓存。

不是所有的密码都只是通过默默无闻来保证安全吗？ (10认同)
废话 - 一切都是通过默默无闻的安全。重点是要到达那里，您需要一条不太可能被猜到的信息。“通过默默无闻实现安全”这个词被过度滥用了。一段随机的 URL 完全等同于在 URL 中放置一个“密码”。唯一的问题是——谁能看到，我在评论中给出的答案是“中间代理，加上它是 http，所以任何人都可以窥探” (10认同)
@WinstonEwert：密码本身与隐匿性无关，这与设计/实施的保密性有关。例如，在 Apache 基本身份验证的情况下，它的设计/实现是完全开放的，所有人都可以看到。 (4认同)
您说通过默默无闻实现的安全性“与设计/实施的保密性有关”。但很明显，随机 URL 与设计/实现的保密性无关。因此，随机 URL，无论它们有什么问题，都不能因为默默无闻而被归类为安全性。 (4认同)
密码安全性由公共（用户名）和私有（密码）组成。隐匿性安全是指任何公共组件（任何用户名或匿名）都可以提供正确的私有组件并获得访问权限的情况。任何认为所有安全都是晦涩难懂的人都没有研究过安全原理。 (2认同)

Answer 2

是否“好”取决于图像的敏感程度。

如果您未使用 SSL，则 URL、HTML 和图像本身将缓存在您用户的计算机上。这可能会泄漏，但我认为不太可能。

浏览器工具栏，尤其是由运行爬虫程序的公司（例如 Alexa 和 Netcraft）制作的工具栏，可以将访问过的 URL 报告回其父站点，为机器人稍后来爬行做好准备。

正确的身份验证（例如 HTTP 身份验证或 POST 变量）不应以这种方式缓存或报告回任何父网站。

另一种技术是使用唯一且短暂的 URL。这样，即使它们确实泄漏，也无所谓。当然，您必须不断更新新 URL 的合法用户。

Answer 3

他们将在此过程中登录每个代理。除非有人真正发布了链接，否则您将远离好奇的高级用户和搜索引擎。

当然，还要注意生成器的随机性。

我猜你不是在这里寻找超高的安全性。

Answer 4

一个神秘的 URL 对一次性下载很方便，但不能提供真正的保护。您需要注意，并非所有机器人都支持 robots.txt 文件，因此如果您站点中的任何位置有任何指向伪装文件夹的链接，它都会被某些搜索引擎编入索引，一旦启动就无法返回。

我建议使用一个简单的基于 .htaccess 的身份验证系统，或者除了您所提议的之外。

Answer 5

我想对像这个例子这样的混淆 URL 添加另一个可能更可怕的观点。即使您的 URL 不是意外共享，它也可能通过以下方式提交给搜索引擎：

天啊。