例如我们点击页面搜索按钮的时候,

会去执行一个ajax请求,如 api.com/Search?keyword=xxx

然后再用请求返回的数据刷新页面.

当然,搜索之类的API安全问题到不严重,

但涉及到充值,退款之类的和现金交易有关的功能时,安全问题就非常重要了.

先不说api.com/Trade?type=xxx之类的安全性如何,

从攻击的角度来讲,知道具体的API地址及参数后,可以构造一些合法的参数来调用API产生一些数据干扰网站的运行..

另外..

如果..是说如果哈,假如看某网站不顺眼,可以写一个程序无限的调用上边的API,加重对方服务器的负载...当负载到一定程度时对方网站就挂了.

那么在用ajax调用时,如何可以隐藏请求的API地址呢,哪位大侠知道请告诉我一下???

我看了一下淘宝的网站,硬是找不到一个有明确地址的API,感到很疑惑,他们是怎么做到的?

比如 搜索结果中的过虑条件:

可以看到a没有href=xxx,但是点击之后数据却过虑了..

再看看价格过虑按钮:

同样仅仅写了一个button,没有指定click=xxx,也没有指定ID,如果说通过外部js给按钮绑定事件的话,一个页面有多个button,也没有个ID来区分...是如何绑定的?

排序链接也一样..根本看不到它调用了哪个API来完成排序的

按下来看看立即购买和加入购物车..

这些都看不到是调用了什么API....请问他们是怎么做到的?

后来在首页找到一个带明确API的搜索按钮...

看到它请求了s.taobao.com/search,

可是..它没有指定参数的名称,也没有看到它传参的过程..它是怎么获取输入框中的内容来传递的?搜索按钮并没有调用任何js方法

最后,在首页的Head内的众多js中,试着将压缩的js格式化之后,搜索一下关于绑定button之类的js,没找到绑定相关的..

这个神奇的网站是怎么做到不着痕迹的调用API的,能做到这样就是黑客想攻击也没办法...

我还在js中发现一段这样的:

它的API竟然是个htm,而且htm还可以传参?我将这个地址复制出来,在浏览器打开,是一个空白页面,没有任何源码,就连js代码也没有,那么传递过去的参数它又是怎么处理的?

好了,问题有点多,

感觉都可以做一个讨论贴了...

问了这么多,目的只有一个,就是如何让我们的网站更安全,先不讨论我们的网站是否有攻击价值,

编写一个高质量的网站是我们这个职业的朋友应该做的.

想知道大侠们是安全方面是怎么做的...

另外,我对淘宝的调用方式很好奇,哪位知道的朋友请告诉我一下,谢谢!