Как скрыть отправляемые данные при post запросе JS?

Question

[Артем]

Я в js не сильно шарю, но не могу понять одну вещь, например мне нужно передать токен, который пользователь не должен видеть$.post("test.php", { token: "my_token" } );. Но ведь при просмотре кода страницы в браузере токен будет виден, как можно решить эту проблему?

Comments

[ThunderCat]

как ниже верно заметили - токен переданный клиенту является частью авторизации/идентификации между клиентом и вашим сервисом. Если токен принадлежит вам и предназначен для связи клиента и некой третьей стороны(например сервисы внешней идентификации) - отсылать его клиенту не нужно, можно хранить в сессии или доставать по мере необходимости из базы/хранилища.

Answer 1

[Evgeny Vyushin]

То, что находится на стороне клиента - принадлежит пользователю. Сюда относятся токены, идентификаторы, имена, фамилии, e-mail, и т. д. Всё это пользовательские данные.

Тут действует главное правило. Пользователь видит только то, что Вы ему прислали сами! Если не хотите чтобы он что-то видел, просто не отправляйте ему это. Ни в JS файлах, ни в HTML коде, нигде. Просто не отправляйте и тогда пользователь этого не увидит.

Вы правы, не все данные принадлежат пользователю. Например, пароли от базы данных, токены которые не связаны с пользователем и т. д. Такие данные хранятся на backend, и не передаются пользователю на клиент.

В Вашем примере Вы сами прислали пользователю секретный токен, а потом попытались подставить его в POST запрос:

$.post("test.php", { token: "my_token" } );

Храните токен на backend.
Если нужно выполнить какой-либо запрос на сторонный API, то это также можно сделать со стороны backend (в вашем примере из test.php). Backend тоже умеет отправлять POST запросы. Конечно не при помощи jQuery, а при помощи своих инструментов. Вот ими и нужно пользоваться, если речь идёт о необходимости выполнения запросов с секретным токеном.

Comments

[Артем]

Да, я согласен, что на стороне backend, но вот только мой js код отслеживает клик мыши и в зависимости куда кликнут должен отправить в post id объекта и токен, а как это реализовать по другому я не придумал

[Evgeny Vyushin]

Артем, в вашем случае, если используете jQuery, то нужно отправить на Ваш backend все необходимые пользовательские данные. Видимо координаты положения мыши и т. д. Потом на backend сформировать новый REST запрос, в который уже подставить токен.

Т. е. получается 2 запроса вместо одного (как Вы делали ранее). Сначала с клиента отправляется 1 запрос, потом с backend отправляется ещё один запрос туда, куда Вам нужно (с секретным токеном).

Таким образом пользователь не увидит секретного токена.

Полезные ссылки:
https://stackoverflow.com/questions/5647461/how-do...

Answer 2

[Виктор Янышев]

Ну так токен выдавай при индетификации
{ token: user_token }

Answer 3

[frees2]

В современном последнем модно сначала создать строку, json (body: 'foo={"token: "my_token":........), а потом ей манипулировать, в частности отправить к примеру через и почему её нельзя зашифровать?