क्या जावास्क्रिप्ट क्लाइंट-साइड में यूयूआईडी बनाने का कोई खतरा है?

Question

मुझे अंततः डेटाबेस में स्टोर करने के लिए यूयूआईडी उत्पन्न करने की आवश्यकता है। क्या मैं क्लाइंट ब्राउज़र पर जावास्क्रिप्ट से UUID उत्पन्न कर सकता हूं (There are some examples here)?

क्या इस तरह से ऐसा करने का कोई सुरक्षा जोखिम है? मैं समझता हूं कि स्टोर करने के लिए सर्वर पर जाने से पहले कोई भी यूयूआईडी को संशोधित कर सकता है। इसलिए मुझे यह जांचने की आवश्यकता होगी कि क्या वे डेटाबेस में उन्हें संग्रहीत करने से पहले अद्वितीय रूप से अद्वितीय हैं, लेकिन इसके अलावा, क्या चेकआउट करने के लिए कोई और चीज है?

(माफ करना मेरी अंग्रेजी के लिए, किसी भी व्याकरण त्रुटियों को ठीक करने के लिए स्वतंत्र महसूस)

संपादित करें: कारण है कि मैं ऐसा करना चाहते हैं के बारे में सवालों के जवाब देने के लिए, यह है क्योंकि मैं एक नई वस्तु बना सकते हैं और उस में पहचानकर्ता है जावास्क्रिप्ट और इसे मेरे दृश्य में जोड़ें और उसके बाद डेटाबेस में जोड़ने के लिए सर्वर पर AJAX कॉल करें। इस तरह, मुझे यह पता लगाने के लिए डेटाबेस से वापस लोड करने की आवश्यकता नहीं है कि यह प्राथमिक पहचानकर्ता क्या है।

Answer 1

वास्तव में नहीं। जब तक यह एक साधारण पहचानकर्ता और कुछ और नहीं है, और आप वास्तव में इसे वैधता और विशिष्टता के लिए जांच रहे हैं, उदाहरण के लिए, यूआरएल में आईडी रखने वाले उपयोगकर्ता खातों से अलग नहीं है।

अपनी यूआरएल बार देखें। मैं शर्त लगाता हूं कि 12 9 6234 इस प्रश्न की प्राथमिक कुंजी है, लेकिन मैं वास्तव में उस जानकारी के साथ कुछ भी नहीं कर सकता। आपकी लिपि के साथ वही सौदा।

Answer 2

इन क्लाइंट-साइड को उत्पन्न करने में आप क्या लाभ देखते हैं? सभी ईमानदारी में, उपयोगकर्ताओं के बाहर पहुंचने के लिए, सर्वर-साइड उत्पन्न करना सबसे अच्छा विकल्प है। यह आपको किसी भी गंभीर सुरक्षा मुद्दों से बचा नहीं सकता है, लेकिन यह अनावश्यक सत्यापन पर कटौती करेगा।

Answer 3

क्या कोई कारण है कि आपके पास डेटाबेस उत्पन्न (वृद्धि) आईडी नहीं हो सकता है?

यदि आप कहते हैं, तो आपको इसे सबमिट करने से पहले मूल्य की विशिष्टता की जांच करनी होगी, क्यों न केवल उस बैकएंड भाषा का उपयोग करें जिसका आप उपयोग कर रहे हैं। इससे इसे और अधिक अपारदर्शी बना दिया जाएगा।

Answer 4

हां। जोखिम यूयूआईडी के लिए विशिष्ट नहीं है, किसी भी क्लाइंट-साइड जेनरेट आईडी में कुछ जोखिम हैं, जो आईडी के साथ आप करते हैं। समस्या यह है कि जावास्क्रिप्ट को प्रमाणीकृत करना बहुत मुश्किल है। यदि आप क्लाइंट द्वारा जेनरेट की गई आईडी स्वीकार करते हैं, तो आप हैकर से किसी भी आईडी को स्वीकार करते हैं।

जोखिम शामिल हो सकते हैं,

1. सत्र चोरी। यदि आप सत्र की पहचान करने के लिए आईडी का उपयोग करते हैं, तो कोई व्यक्ति मौजूदा आईडी का उपयोग जेनरेट आईडी के रूप में कर सकता है और उचित देखभाल नहीं होने पर सर्वर मौजूदा सत्र के रूप में इसका इलाज कर सकता है।

2. डुप्लिकेट कुंजी। सही यूयूआईडी यादृच्छिक है लेकिन कोई डुप्लिकेट कुंजी उत्पन्न कर सकता है जो आपके डेटाबेस को गड़बड़ कर देगा।

आपको इन हमलों में से प्रत्येक के खिलाफ बचाव करने के तरीके मिल सकते हैं लेकिन यह निष्क्रिय सुरक्षा है। यह क्लाइंट पर आईडी उत्पन्न करने के मूल उद्देश्य को हरा सकता है, जो कि सरल है।