如何从客户网站安全地收集数据

Question

我需要向我的客户提供一个代码 sn-p，他们可以将其添加到他们的网站，类似于谷歌分析代码，例如

<script type="text/javascript">
var gaJsHost = (("https:" == document.location.protocol) ? "https://ssl." : "http://www.");
document.write(unescape("%3Cscript src='" + gaJsHost + "google-analytics.com/ga.js' type='text/javascript'%3E%3C/script%3E"));
</script>
<script type="text/javascript">
try{
var pageTracker = _gat._getTracker("UA-xxxxxx-x");
pageTracker._trackPageview();
} catch(err) {}
</script>

但我需要它从客户电子商务网站收集一些值。他们会将代码添加到他们的站点，然后我们将接收这些值并将它们添加到我们的 sql 数据库中。他们将根据我们提供给他们的代码提供客户端或服务器端的值。

谁能建议一种安全的方法来做到这一点？对客户而言，越简单越好。

感谢您的任何建议。

Answer 1

Javascript 是客户端技术。因为浏览器不允许跨站点脚本，您的客户端必须托管脚本，以便它可以访问页面的其余部分。它当然无法访问服务器上的电子商务应用程序，因为它在客户端上运行。 可以想象，它可以向电子商务服务器发出 Ajax 请求以获取数据，但这意味着您需要在服务器上放置可以处理此类请求的代码，并且完全在服务器端执行此操作是有意义的。 我不确定您要收集什么样的信息，但您似乎无法在客户端上收集太多信息。

无论如何，当您的 Javascript 在用户浏览器中呈现时，它可能会向您自己的网站发送请求，例如通过插入不可见的图像，并在查询字符串中传递信息 - 这是不安全的。

Answer 2

您将需要在服务器端执行此操作。出于安全原因，浏览器要么不允许在 ssl 会话中发布到另一个站点，要么向用户提供一个非常可爱的安全警告，让他们感觉自己被黑客入侵了。

我会在您的服务器上创建一个 Web 服务，并为客户端提供一些示例代码以从他们的服务器调用它。