Ajax调用中的证书固定

Certificate pinning in Ajax calls

本文关键字：证书 调用 Ajax      更新时间：2023-10-24

我相信我已经知道了这个问题的答案，但我想看看是否有人对这个问题有更多的了解。我已经在Android和iOS应用程序中进行了证书钉扎，以使它们更安全地抵御中间人的攻击。我很好奇，同样的事情能在执行Ajax调用的网站上完成吗？我不认为Javascript代码可以在传输过程中修改，有人对此有任何经验吗？

您可能对此感兴趣：http://caniuse.com/#search=HPKP。现代浏览器已经支持公钥固定。

还有一篇关于防止中间人攻击（或使其更难实现——因为在安全环境中"防止"似乎有相对的含义）的伟大文章：http://blog.scottlogic.com/2016/02/01/man-in-the-middle.html

如果你有冒险精神，你可以在JavaScript中使用TLS的本地实现来达到非常低的水平：https://github.com/digitalbazaar/forge/blob/master/README.md

相关文章：