Как скрыть javascript на сервере?

Question

[Алекс Меллер]

Стоит задача скрыть скрипт на сервере, то есть чтобы при открытии ссылки через браузер, к примеру site.com/js/script.js было пусто, а при подключении на сайт способом чтобы все подключалось. Так делают различные сервисы, дабы скрыть свой исходный код.

Comments

[Lynn «Кофеман»]

А смысл? Если код как-то попадает в браузер, то любой более-менее любопытный его может увидеть.

[Алексей Ярков]

.htaccess в папку со скриптами и запретить доступ

[HoHsi]

Алексей Ярков: всем

[Алексей Ярков]

HoHsi: ну тут по желанию ))

[HoHsi]

Алексей Ярков: пусть лучше всем, а то своруют ненароком

[Алексей Ярков]

HoHsi: ага, а там пароли от сервера NASA прям в код вшиты.

[Adamos]

Стоит задача скрыть скрипт на сервере

Постановка подобных задач - однозначный признак грубой архитектурной ошибки.

[HoHsi]

Алексей Ярков: шутки, шутками, а один товарищ формировал SQL прямо в JS. Как вы понимаете, сейчас этого сайта уже нет. И товарища у меня больше нет...

[Алексей Ярков]

HoHsi: жесть... Он мой кумир теперь :-)

Answer 1

[HoHsi]

Это невозможно. Если скрипт встраивается в сайт, т.е. фронт энд, а не является бэк-энд NodeJS скриптом, его нельзя скрыть.

Если же упороться, и закрыть доступ к этому файлу, его не получат и пользователи, которые просто перешли на страницу. Это все равно, что заварить дверь от воров, и удивляться, а почему же не заходят обычные покупатели.

Единственный способом мало-мальски скрыть исходные тексты, это обфускация и минификация.
Все.

P.S. Дайте ссылку на пример где так сделано, аж любопытно.

Comments

[Алексей Уколов]

Скорее всего, там просто referrer проверяется или какой-то кастомный заголовок.

[HoHsi]

Алексей Уколов: дык, это не скрытие. Банальным курлом, можно все подделать.

[Алексей Уколов]

Я и не говорю, что это скрытие. Но от недоученного веб-разработчика или просто постороннего человека такая проверка спасет. Но посторонний человек даже пытаться не станет, а недоучка на Тостер придет спрашивать "как скачать скрипт" :)

Answer 2

[Alex]

Ну как вариант, на сервере сделать табличку, в которую генерируется рандомное имя файла и в страницу скрипт с этим именем вставлять динамически.
Сервер пусть проверяет, если по такому имени уже спрашивали файл, отдавать шиш.

Comments

[Андрей Мохов]

качаю html код страницы, и выкачиваю спокойно JS скрипт

[Alex]

Андрей Мохов: Исчо раз читаем описание: "при открытии ссылки через браузер". Если человек будет скачивать без JS html, можно подключать этот JS другим JSом =). Типа нет у тебя JS не узнаешь ссылки, есть JS ссылка сама автоматом выполнится. Замечу что имя надо генерить при запросе именно HTMl.

[Андрей Мохов]

streetflush: голову включите наконец, жмыкаю F12 и смотрю JS файлы, которые были вытянуты, сохраняю локально

[Alex]

Андрей Мохов: читать научитесь наконец "при открытии ссылки через браузер, к примеру site.com/js/script.js"

[Андрей Мохов]

streetflush: вы действительно не понимаете как работают сайты? Никак вы на стороне сервера не узнаете пользователь открыл прямую ссылку на JS-скрипт или это сделал его же браузер по запросу html кода или другого скрипта.
Если есть желание, то контент JS файла получить можно в 100% случаев

[Alex]

Андрей Мохов: Ежу понятно, что если его нельзя получить, то результата работы его не будет.
Вопрос как стоял? Чтобы на странице скрипт был, а выкусив ссылку на него и открыв её, файла не было.
Я предлагаю давать открывать ссылку со скриптом 1 раз.

При желании можно встроить в JS тайм бомбу на час например, после которого скрипт не работает.
Хорошенько обфусцировать. (а если еще клиентскую реализацию найти https://www.npmjs.com/package/brainfuck-javascript вообще круто было бы).
Человек захотевщий данных скрипт себе, постарается его сначала через консоль спереть, затем через час у него все сломается и он решит подключить напрямую с сайта JS, а ссылка постоянно динамическая...

Взломать можно все... вопрос в том, что дешевле, сидеть и разбираться почему скрипт через час после того как его уперли перестал работать и почему его не подключить напрямую или написать самому данный скрипт.

Answer 3

[Андрей Мохов]

невозможно, максимум что вы можете сделать, это ограничить доступ к нему по логин/паролю, но если предполагается подключение данного скрипта на стороне клиента, то он 100% сможет его скачать и без основной страницы

Answer 4

[Андрей]

вынести скрипты за пределы htdocs, отдавать скрипты каким хотите server-side скриптом после каких хочешь проверок.

Comments

[timfcsm]

а что мне помешает посмотреть этот скрипт в отладчике?)

[Андрей]

Тимур: я понял так, что хотят скрыть код от неавторизованного пользователя.

Answer 5

[crash_nsk]

Это можно сделать. Для этого нужно генерировать скрипт, а не отдавать статику.

Например, при обращении к урлу site.com/js/script.js на самом деле происходит обращение к серверу, который делает необходимые проверки. Далее в случае успешной валидации в ответ подсовывается тело скрипта, иначе пустой ответ.

Но тело скрипта всё равно возможно получить на клиенте. Достаточно загрузить страницу и через консоль разработчика посмотреть состав загруженного файла

Answer 6

[Пума Тайланд]

Сервисы делают это не для того чтобы скрыть код, это называется защита по реферу.

Answer 7

[Exp123]

Неплохое решение Jscrambler. Помимо обфускации и минификации, у них еще есть такие штуки как самозащита (код сам ломается если его стараються взломать). И разные ловушки в коде, можете сделать так, допустим, что бы ваш код исполнялся только на определенных доменах и тд.