请教一下关于 nonce 防重放

查看 178|回复 14
tool2d   
单纯客户端生成的,基于 timestamp 的签名,那种叫 Signature-Algorithm: HMACSHA256
我尝试过想破解,但是是一个 APP ,并不是 web js 代码,难度就挺大的。
matepi
OP
  
@retNu1l 这个签名如果是客户端做的,不是一样会能被搞掉的么?尤其 web 页面情况,js 代码都很好模拟的情况下
matepi
OP
  
@LonnyWong “一般在请求前生成一个唯一的 ID ”这个何时、何侧、以何种算法生成的呢?按我之前理解是客户端,现在听大家的意思的理解,应该是在前一次请求、由服务器端、按服务器端内的算法生成的?
“前端要确保同一个请求的 ID 相同且全局唯一。”我的理解,客户端前端只是把服务器端前一次下发的内容,在本次再带上服务器端的简单逻辑?客户端前端应该没有啥确保保证的能力吧。
但如果是“在前一次请求、由服务器端、按服务器端内的算法生成的”;“并在本次再带上服务器”的逻辑的话,似乎这个逻辑就会限制了用户开多个 web 页面并行做请求的能力?
vultr   
@matepi 8 楼 @tool2d 说的才是对的,nonce 得服务器返回才是安全的。
tool2d   
@matepi "似乎这个逻辑就会限制了用户开多个 web 页面并行做请求的能力?"
前端有个幂等属性,关键 POST 操作肯定不能并行请求。
如果是 GET ,那随便并行。
您需要登录后才可以回帖 登录 | 立即注册

返回顶部