这是一个创建于 1859 天前的主题，其中的信息可能已经有所发展或是发生改变。
假设存在应用 App1,App2,App3 与用户数据服务 UserServer, UserServer 已设置只接受来自 App1~3 的请求.
应用的页面中:
<script type="text/javascript" charset="utf-8" src="https://UserServer/FetchUserData/$objectName"></script>
脚本内容:
window.self.objectName={userDataObject};
应用的页面脚本:
this.userId=window.objectName.Id;
this.userAvatarUrl=window.objectName.AvatarUrl;
4 条回复 • 2019-10-14 16:18:06 +08:00
 |
1
optional 2019-10-14 15:37:52 +08:00  1
https 没什么隐患，中间人看不到，放在 url 里唯一要担心的是日志泄露(因为 access log 会打印 url ）
|
 |
2
virusdefender 2019-10-14 15:40:47 +08:00 1
如果 referer 验证是正确实现的，那应该问题不大
|
 |
3
ragnaroks OP |
|
4
virusdefender 2019-10-14 16:18:06 +08:00
@ragnaroks 那没关系啊，referer 在浏览器上是没法伪造的就够了，如果是脚本发请求，说明拿到了可用的 cookie/token，那本来就没办法。
一个 referer 可能验证错误的例子 example.com.[random]example.com |
Select Language