如何保护HTML5应用程序的JSON调用到服务器

Question

我目前正计划开发HTML5应用。基本概念如下：

用户应该能够使用用户名和密码创建个人资料。服务器应该在Ruby on Rails中实现，提供JSONP Api（用于跨域问题）。

因此，应用程序将向服务器发送Ajax请求并从中获取响应。

我的想法是现在将第一个响应的session_key（由服务器生成）发送回客户端。然后客户端必须使用此令牌验证自己。

但现在我有一些问题。

• 如何确保客户端的第一次呼叫（当他传输用户和密码时）？
• 如何保护会话密钥免受欺骗？

我在安全方面是一个完美的菜鸟。因此，如果我能得到一些提示，那将会很棒。

Answer 1

使用SSL保护您的连接。这应该不需要更改代码，除了在'http'之后输入's'; - ）。

Answer 2

我使用了ajax参数的校验和（使用提交的数据计算），然后将ajax请求的孔加密到一个字符串中。

像sRequest = 459fdjnfdw4r908vn ....

sRequests保存我的数据（sUser = user＆amp; sPass = pass＆amp; iCheck = 34564）。

编辑：我的客户端代码不公开，编译为应用程序。