首页 / JAVASCRIPT / javascript-如何防止第三方网站私自调用网站的后端接口

javascript-如何防止第三方网站私自调用网站的后端接口

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了javascript-如何防止第三方网站私自调用网站的后端接口，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含3155字，纯文字阅读大概需要5分钟。

内容图文

对于前后端完全分离的网站，后端采用PHP/Java/Python向前端输出json格式的数据，而前端通过ajax向后端调用接口获取数据。这种情况下，后端的接口如果没有采取一定的保护措施是很容易被其他人恶意调用来做一些非法操作。那么，现在在这种前后端完全分离的网站架构下有哪些主流的对后端接口保护的做法？

回复内容：

1）给你API的用户发放验证Key，对请求的数据内容按双方定义的规则结合Key进行编码，后端拿到请求后解码校验是否符合预期，并设置每个Key的访问频率~~
内容不符合预期直接拒绝响应
访问过于频繁，那么此用户在一定时间内不允许访问~~~

2）还可以发放SSH私钥/公钥的方式来保证~~~

用Access-Control-Allow-Origin header 和 csrf的token来控制。
有的需要限制次数的还会在headers中加入X-RateLimit-Limit和X-RateLimit-Remaining来控制访问

目前我的想法更多是限制操作频度来控制，因为无论你怎么做，会Chrome插件开发的脚本小王子总能利用你的用户体验需求绕过所有限制。

同时也建议你开放出去的api权限控制好，比如

http://api.xxx.com/customer/user/get?id=12345

不要将这个api设计为随意更换id就能查询到所有用户的信息，要在filter中对传入的id和session中维护的登录用户信息做鉴权校验。

如果这个页面被设计为不需要用户登录即可查看的偏静态页面，那我会推荐你不要用方案来实现这种页面。因为很难去做SEQ和CDN化

给你一个简单的方案：判断请求来源是不是ajax，如果不是，则拒绝请求。那么来自ajax的请求，可以进行计数，如果单位时间请求过于频繁的话，禁止请求（这样会武断的屏蔽掉一个IP后面有一家大公司的情况）。

如果是ajax的话，你根本不能判断对方是不是恶意请求，因为它很有可能真的来源于你自己的页面。

做个token验证。在前端要调用后端接口的时候，传个加密过的token过来就行啦

一般就是token，还有就是来源。。。这就杀了一片了。

做好后端验证是最重要的。
传递的数据可以用js加个密，能略微增加一些抓包的难度

最近我也在思考这个问题

试试Oauth验证

后端没有记录session，怎么获取数据？

后来，我大致想了一下，一些不是非常敏感的数据，不需要登录就可以加载，如果是敏感的数据需要用户登录了之后才可以用异步调用。

验证码，session，限制ip 这些都是可以做的…

所见即所得，没办法。

http协议的无状态特性决定了是无法彻底避免第三方调用你的后台服务。前面几位说的方法都有一定的作用，包括crsf、接口调用频率、用户行为分析等从某一些方面来说都是只能增加第三方调用的难度而已。

12306网站就是最好的实例。

登录数据可以用session，如果不需要登录的，可以用参数密钥时间认证。

 test.php?a=1&b=2&time=12345678&code=xxxx

xxxx就是认证码，简单点可以用md5(a1b2time12345678passwd),即参数列表，加上当前时间，加上密码。你可以使用多个密码，即一个客户端一个密码，每个客户端发一个appid，即增加一个参数，

`test.php?appid=1&a=1&b=2&time=12345678&code=xxxx`，

这样可以随时修改一个客户端的密码，或者丢弃某个客户端请求。

非法访问通常使用认证来解决，方法很多session，oauth等等。
对于合法的认证访问通常需要进行访问频率和次数的限制，各种API框架都有支持，比如Django restframework的throttling。
对于拒绝服务时的访问，通常需要在更前端做控制，比如在nginx上配置rate limit。

参照各大开放接口，做一个token验证，每次发起请求必须带验证。就不会被随意调用了。

HTTP请求支持鉴权,用base auth 做访问身份验证.或者用oauth2对请求做认证.

lz 可以参考下微信js 的接口

内容总结

以上是互联网集市为您收集整理的javascript-如何防止第三方网站私自调用网站的后端接口全部内容，希望文章能够帮你解决javascript-如何防止第三方网站私自调用网站的后端接口所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/240894.html

来源：【匿名】

【上一篇】javascript-麻烦帮解释一下，什么叫“钩子”？【下一篇】javascript 怎么调用php方法

更多 ►

【javascript-如何防止第三方网站私自调用网站的后端接口】教程文章相关的互联网学习教程文章

iOS中使用JavaScriptCore实现Objective-C和JavaScript的相互调用【代码】【图】

最近看了一个对Github上面编程语言使用统计的排行榜，JavaScript真可以说是一枝独秀，很难想象20年前，这个语言只是浏览器中的装饰性语言，能做的事情也就是一点特效或者检查一下要提交给服务器的表单是否满足要求。今天的JavaScript已经是一个全栈语言，从客户端到服务器无所不在。很多编程语言都提供了跟JavaScript进行交互的接口，这一点在iOS开发中也不例外。 ??iOS7以前，在App中调用JavaScript的方式只有一种，就是通过UIWe...

javascript调用的一些常用方法

getElementsByName()方法实列:<bordy><from method="post" action="test"><fieldset>　　<legend>颜色</legend>　　<input type="radio" name="radColor" value="red"/>红<br/><fieldset></from><script>var i = document.getElementByName("radColor");</script></body>getElementById()方法这个是DOM定义的第二种方法，它将返回ID特性等于指定元素。列:<div id="div1">你好</div>调用var div = document.getElementByid("div1");...

【HANA系列】【第六篇】SAP HANA XS使用JavaScript(JS)调用存储过程(Procedures)【代码】【图】

公众号：SAP Technical本文作者：matinal原文出处：http://www.cnblogs.com/SAPmatinal/ 原文链接：【HANA系列】【第六篇】SAP HANA XS使用JavaScript(JS)调用存储过程(Procedures) 前言部分大家可以关注我的公众号，公众号里的排版更好，阅读更舒适。正文部分前面几篇讲了SAP HANA XS JavaScript（JS）的基础内容和相应API，这篇讲一下JavaScript如何与后台交互，此篇讲存储过程（Procedures）。从SAP HANA XS服务器端JavaScript...

JDK8中Java调用Javascript脚本引擎动态定义与执行代码【代码】

import java.lang.*; import java.util.Arrays; import java.util.List;import javax.script.Invocable; import javax.script.ScriptEngine; import javax.script.ScriptEngineManager;public class ScriptEngineTest {public static void main(String[] args) throws Exception {ScriptEngineManager sem = new ScriptEngineManager();ScriptEngine engine = sem.getEngineByName("javascript"); //python or jython, <pre na...

Java8 Nashorn实现Java调用javascript代码【代码】

最近项目需要，利用java执行动态语言，首先想到的是支持js。1.从打印Hello World开始Java8 引入Nashorn实现javascript调用，比如使用java运行一段js实现“Hello World”打印：package com.iflytek.research.jsdemo;import javax.script.ScriptEngine; import javax.script.ScriptEngineManager; import javax.script.ScriptException;public class NashornTest {public static void main(String[] args) {// 加载nashorn执行引擎Sc...

JavaScript--3种函数调用的方法【代码】

1、函数的简单调用：<script > function fn(p){alert(p); } </script><body><script>fn("简单调用JavaScript函数");</script></body>2、事件响应中调用函数<script > function fn(){alert("success"); } </script><body> <form action="method" type="post"> <input type="button" value="提交" onclick="fn()"> </form></body>3、通过链接调用函数<script >　　function fn(){alert("success");}</script> <body> 　　<a href="ja...

JavaScript或者Jqurey把控件id作为參数来调用

1.JavaScript把控件id作为參数调用<script type="text/javascript">function xx(pmba){document.getElementById(pmba).style.display = "block";}</script><div id="overlay"><input type="button" value="弹出A" onclick="xx(‘xa‘)" /><input type="button" value="弹出B" onclick="xx(‘xb‘)" /></div><div class="win" id="xa">网页a</div><div class="win" id="xb">窗体b</div> 2.这个弄了好一会儿，仅仅写一个Jqurey函数，...

ASP.NET中前台javascript与后台代码调用

ASP.NET中前台javascript与背景代码调用 1如安正在JavaScript访问C#函数? 2.如安正在JavaScript访问C#变量? 3.如安正在C#中访问JavaScript的已经有变量? 4.如安正在C#中访问JavaScript函数? 标题1谜底以下： javaScript函数中实施C#代码中的函数：方法一：一、起首成立一个按钮，正在背景将调用或许搞定的内容写入button_click中; 二、正在前台写一个js函数，内容为document.getElementById("btn1").click(); 三、正在前台或许背景...

js中的方法调用【代码】

es5语法下，javascript如何判断函数是new还是()调用

es5语法没有支持类class，但是可以通关函数来申明一个类，如下：function Person(name){　　this.name=name;}var john=new Person(‘john‘)；console.log(john.name);//john但是这个类可以直接像函数执行那样调用：Person()判断是不是被new还是()调用得这样修改上面这个类：function Person(name){　　this.name=name;　　if(this instanceof Person){ 　　　　alert(‘new调用‘); 　　}else{ 　　　　alert(‘函数调用...

javascript——四种函数调用形式【代码】

此文的目的是分析函数的四种调用形式，弄清楚函数中this的意义，明确构造函对象的过程，学会使用上下文调用函数。　　在JavaScript中，函数是一等公民，函数在JavaScript中是一个数据类型，而非像C#或其他描述性语言那样仅仅作为一个模块来使用. 函数有四种调用模式，分别是：函数调用形式、方法调用形式、构造器形式、以及apply形式. 这里所有的调用模式中，最主要的区别在于关键字 this 的意义. 下面分别介绍这个几种调用形式. ...

javascript中函数定义调用及封闭，闭包用法总结

1， javascript函数定义调用 function test(){ alert("aaa"); } var a=function(){ alert(‘aa‘); } 2，javascript函数参数 function test(a,b){ return a+b; } 3,javascript封闭函数 (function (){ alert(‘www.96net.com.cn‘); })(); 4, javascript 闭包函数函数里面嵌套函数 function a{ function b(){ } return b; } 原文：https://www.cnblogs.com/96net/...

用Node-addon-api实现C++调用Javascript【代码】

本文介绍在使用Node-addon-api时，能够实现用C++调用Javascript的几种方式。 1. Callback比较简单，示例： Napi::Function cb = info[0].As<Napi::Function>();cb.Call(env.Global(), { Napi::String::New(env, "hello world") });Return functionString MyFunction(const CallbackInfo& info) {Env env = info.Env();return String::New(env, "hello world"); }Function CreateFunction(const CallbackInfo& info) {Env env = in...

[Winform-WebBrowser]-在html页面中js调用winForm类方法【代码】

在winform项目中嵌入了网页，想通过html页面调用后台方法，如何实现呢？其实很简单，主要有三部： 1、在被调用方法类上加上[ComVisible(true)]标签，意思就是当前类可以com组件的形式供外包调用2、在webBrowser控件中设置可被html页面调用的类即：webBrowser1.ObjectForScripting = this;前端即可通过window.external访问this对象3、html页面调用后台方法：window.external.方法名(); 此处的window.external相当于webBrowser1.Obje...

javascript中方法调用与方括号[]【代码】【图】

看jquery时遇到一行：$(this)["removeClass"]("selected"); 这一行等同于下面的一行：$(this).removeClass("selected"); 想了好一会儿才明白，在javascript中，一个对象可以这么创建：var my_class = {my_var: "Jim",my_fun: function(your_name){alert(your_name)}}javascript中，因为 JavaScript 程序语言的特性，每个对象实际上都是一个 hash，引用属性的时候，可以使用my_class.my_var; my_class.my_fun("jack");也可以这样my...

首页 / JAVASCRIPT / javascript-如何防止第三方网站私自调用网站的后端接口

javascript-如何防止第三方网站私自调用网站的后端接口

内容导读

内容图文

回复内容：

内容总结

内容备注

内容手机端

【javascript-如何防止第三方网站私自调用网站的后端接口】教程文章相关的互联网学习教程文章

JAVASCRIPT - 相关标签

后端 - 相关标签

接口 - 相关标签

JAVASCRIPT - 技术教程分类

JAVASCRIPT - 最新教程

JAVASCRIPT - 最热教程