Ajax 调用中的证书固定答案

【问题标题】：Certificate pinning in Ajax callsAjax 调用中的证书固定
【发布时间】：2016-07-21 09:46:50
【问题描述】：

我相信我已经知道了这个问题的答案，但我想看看是否有人对这个问题有更深入的了解。我已经在 Android 和 iOS 应用程序中完成了证书固定，以使它们更安全地抵御中间人攻击。我很好奇，同样的事情可以在执行 Ajax 调用的网站上完成吗？我不认为 Javascript 代码可以在传输过程中被修改，有没有人有这方面的经验？

【问题讨论】：

标签： javascript ajax ssl ssl-certificate man-in-the-middle

【解决方案1】：

您可能对此感兴趣：http://caniuse.com/#search=HPKP。现代浏览器已经支持公钥固定。

还有一篇关于防止中间人攻击的好文章（或者他们更难实施——因为在安全上下文中“预防”似乎具有相对含义）：http://blog.scottlogic.com/2016/02/01/man-in-the-middle.html

如果你喜欢冒险，你可以在 JavaScript 中使用 TLS 的原生实现来达到非常低的水平：https://github.com/digitalbazaar/forge/blob/master/README.md

【讨论】：

这非常有用，感谢您的帖子。在阅读了它们之后，我又进行了一些测试，发现我遇到了另一个关于 MITM 攻击的问题。如果您有任何见解会有所帮助，stackoverflow.com/questions/36504363/…
看起来 HPKP 已被弃用，然后从 Chrome 中删除。根据 Chrome 的建议，您可以考虑 developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Expect-CT 作为替代品。