我需要一份关于web/javascript安全的入门指南。
根据如何使用HTML/JavaScript客户端与Windows Azure移动服务合作,在客户端的javascript中,包含链接MobileServices.Web-1.0.0.min.js
后,您应该像这样创建一个客户端:
var MobileServiceClient = WindowsAzure.MobileServiceClient;
var client = new MobileServiceClient('AppUrl', 'AppKey');
这意味着在页面的javascript中包含我的AppKey。我应该担心AppKey被公开吗?
另外,似乎有人很容易将XHR断点放入REST调用中以读取X-ZUMO-APPLICATION和X-ZUMO-AUTH头信息。虽然通过跨域资源共享白名单可以降低此操作的有效性,但是如果有人获取了这些信息,他们能否添加javascript到页面并对我的后端数据库执行任意操作呢? 将表权限限制为已认证用户无法在这种情况下提供帮助。
我需要担心吗?银行类应用程序会对这种情况采取什么措施吗?