Javascript到PHP安全性

Question

我似乎无法找到一个几乎确切的问题,所以我不妨问一下.

将变量从Javascript发送到PHP真的是一种标准做法吗？我计划在Javascript中进行几次评估之后将数组发送到PHP - 在这里和那里传递变量......只是再次组合成一个数组,正如我所说,将传递给PHP.我错过了什么吗？我几乎没有看到任何教程这样做,主要是相反的方式 - 即PHP数组到Javascript.让我想一想,由于安全原因,也许没有被建议对PHP执行Javascript.

简单地说,将Javascript数组发送到PHP以后将被保存到数据库是危险的吗？我还没有完全阅读如何做到这一点,只扫描了我能找到的极少数... json stringify,$ _POST,json encode,json decode.如果可以将JS传递给PHP,并且因为它与我的问题有关,那么有人可以指出我提到哪些是最好的安全性？谢谢!

Answer 1

安全性在这一点上并不是一个问题:JavaScript在客户端运行,因此任何可能出错的地方都可能被攻击者轻易伪造.无论如何,你无法信任客户,正如@Jan在上面的评论中所说的那样.此外,您在JavaScript端所做的一切都可以被客户端窃听和操纵 - 这就是为什么您不能在JavaScript中进行密码检查的原因.因此,无论如何,JavaScript运行的环境基本上是不安全的.

当服务器接受并使用数据时,安全性就会起作用.您需要具备所有必要的保护措施,以便数据不会损害您的服务器 - 例如,使用转义或预准备语句删除任何SQL注入,正确处理无效的输入字符等.

我想到了两条例外情况:

• 如果您使用的是SSL(https://)连接,请确保您的JavaScript也以这种方式发送数据

• 将浏览器发送到具有敏感GET参数的新位置:

  http://www.domain.com/newpage?username=pekka&password=superman85069

  比POST表单安全性低,因为URL可能被缓存.