我想知道使用SSL(实际上是在JBoss web应用程序服务器上配置TLS)时,使用GWT存在哪些安全漏洞(如果有的话)。我与我的一位朋友讨论过这个问题,他说即使我启用了HTTPS,一些恶意用户仍然可以拦截我的.js文件并更改代码,并在服务器上通过身份验证。我们假设除了SSL之外,我们从未在网络上发送明文密码(我们首先对其进行哈希)。这真的可能吗?
我想知道的另一件事是JavaScript代码(由GWT生成)如何触发RPC调用?我们使用Wireshark来嗅探客户端到启用SSL的Web服务器的请求和响应,但是没有看到任何RPC数据包。我们只看到了这些TLS协议包,我们可以通过使用客户端和Web服务器的源和目标IP地址筛选器轻松地识别它们。