Ajax Security (3) - Ajax的问题

以下内容参考自：http://www.it-observer.com/articles/1062/ajax_security/

Ajax安全的大多数问题来自于服务器端的有缺陷的实现。使用安全coding技术的良好设计会使得Ajax更加安全。
其他问题：

• 新的技术：Ajax毕竟是一些新技术，在网上能找到的好的例子较少。
• 非传统的设计：Ajax包括客户端和服务器两个部分，需要不同的技术。
• 太多的脚本：Ajax导致过多的脚本以及与此对应的服务器页面。
• 为了Ajax而Ajax的想法：这种想法是不正确的，Ajax会带来很多很cool的效果，但是与之而来的是相应的测试。
• 不安全的通讯：Ajax调用传输的数据可能很小，但是这些数据可能是隐私和保密的。
• 服务器端的访问控制：使用JavaScript过程来调用Ajax可能会掩盖明显的编程错误。
• 服务器端验证：很重要。
• 客户端验证：如果客户端是执行服务器返回的JavaScript代码的话，验证也是必须的。

Ajax安全提示：
为了成功，需要从一个好的计划开始。集中精力来降低和简化Ajax调用，为响应创建标准的格式（一般是XML）。

• 遵循最佳实践。尤其包括检查访问控制和输入验证的缺陷；保证敏感数据通过SSL传输。
• 不要认为服务器端的Ajax对访问控制和用户输入的验证可以取代服务器上的检查。使用Ajax不会减少验证的工作量，反而会加大。
• 不要认为客户端的混淆可以包含你最重要的商业秘密。使用JavaScript是隐藏编程技巧和领先竞争者的很差的方式。
• 最后，对你的开发团队进行严格的控制。使用Ajax可以达到很棒的效果，但是可以考虑把它们移到第二版再说，首先集中精力构建稳定的第一版。

网站开发最佳实践的参考网站：

Open Web Application Security Project (OWASP)

http://www.owasp.org/