如何在客户端使用 AEM 加密支持 API？

Question

我计划使用cryptosupport API 来加密/解密某些承载 PCI/PII 客户数据的 cookie 密钥。我在客户端和服务器端设置/读取这些 cookie。在服务器端（java），我可以调用 API 和加密/解密。如何从客户端（javascript）调用 API？客户端的使用量非常大，我不想让ajax calls 成为服务器。

• 是否建议使用此 API 并要求对客户端和服务器端使用的 cookie 数据进行加密？
• 或者是否有更简单的加密 API 用于此目的？

Answer 1

它只是一种服务器端 AEM 功能。

想一想——如果您能够调用 API 来解密客户端 (JavaScript) 上的密码，它会提供什么安全性？最终用户也可以轻松地解密密码并查看其中的秘密，因此它确实会破坏拥有加密秘密的目的。

见What encryption algorithm is best for encrypting cookies? 上面写着

由于这个问题相当受欢迎，我认为给 这是一个更新。

让我强调一下 AviD 对这个问题给出的正确答案：

您不应在 cookie 中存储任何需要加密的数据。相反，将大小合适（128 位/16 字节）的随机密钥存储在 cookie 并将您想要保护的信息存储在 服务器，由 cookie 的密钥标识。