保护 javascript 前端/REST 后端架构网站的最佳方式？

Question

我想构建以下项目：

• 任何经过身份验证的客户端都可以访问的公共 REST API 后端
• 带有 HTML/CSS/Javascript 静态文件的前端，带有 Backbone.js 对 REST 后端的 jQuery 调用

实际上，我的架构中有三方：前端，它是后端的客户端，后端和要在前端登录页面上进行身份验证的用户。

保护此架构中涉及的三方的最佳方法是什么？

事实上，如果我在 javascript 中做所有事情，我认为在前端做一个安全的应用程序是不可能的，所以我打算将身份验证/授权委托给我的服务器前端的代理层。你怎么看？

我打算使用 OAuth 来保护我的 REST 后端，但我不确定是否必须使用 2 或 3 腿实现。在这种情况下，正确的做法是什么？

更新：在 SO 网站上进行更深入的搜索时，我发现了这个 thread，这正是我想做的，除了我想在服务器端使用 Java 而不是 DotNet。如果我理解得很好，实际上我的网站就像我的 REST API 的任何客户端，除了它是唯一有权创建新用户帐户的客户端。因为，如果我的 REST API 只能通过 OAuth 访问（如 Twitter 的 API），那么之前谁能执行用户帐户创建？我说的对吗？

Answer 1

与此架构的安全性有关的一个主要问题是测试。自动化工具将无法测试该系统的常见漏洞，例如 SQL 注入，Direct Object Reference。测试奇怪架构的有用工具是 OWASP 的开源 Zed Attack Proxy 或专有的 BURP 代理。测试将非常耗时，并且需要对 Web 应用程序漏洞有深入了解的人。我们经常将这些人称为Pentesters。

保持会话状态的 RESTful 形式是使用 HMAC 来保护值不被修改。然而，这是对密码学的滥用，因为它为攻击打开了大门。攻击者可以暴力破解 HMAC 中使用的密钥，然后修改其会话 id 等值或以其他方式访问系统上的另一个帐户。只有在没有其他选择时才应使用密码术。通过将会话状态存储在非 RESTful 数据库中，可以完全防止此漏洞。