[問題] 繞過JS

[hirabbitt (兔子)]

通常我們會使用一些JS

來檢驗使用者是否有按照規定來填表格

但是如果使用者從原始碼之中

看透表格名稱與action目標

自己寫一個一模一樣的form來執行

不就可以繞過js的檢查了?

在有session的網站

也只要先登入讓瀏覽器吃過session

再執行我們要偷渡的網頁就好了

有沒有什麼方法可以防止這種繞過JS的行為呢?

--
              ◤  __   ＼__◣     ◢◤◢◤                 ψhirabbitt
              ◢  ◤ ◢███◣ ◢███◣
和妳的約定           █████ █████     不變心的約定
                     ██●█● █▇███
   是變心的約定      ██╱╲ ●◥█████◣●    是我和自己的約定
                     ◥╱█╱╱ ●  ◥████  ˇ

--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 163.13.127.91
→ Kelunyang:1.你不應該相信前端的檢查，後端本來就應該有對應
→ Kelunyang:防止跨域登入還沒想道該怎麼辦XD
→ j100002ben:只要是客戶端傳過來的東西一切不可信任.....
→ TonyQ:可以啊，從Server 檢查他資料有沒有填寫齊全就好。
→ Kelunyang:可是照他的說法，我們是不是真的無法檢查這個呼叫是不是
→ Kelunyang:來自於自己的域名啊，剛剛想了一下沒想到怎麼處理@@"
→ TonyQ:來不來自自己的域名很重要嗎？.？
→ TonyQ:重點是資料過來對不對而已啊
→ TonyQ:要檢查來源網址可以查refer，這個是純js無法造假的，
→ TonyQ:不過一般爬蟲或機器人要造假refer倒是很容易。
→ grence:CAPTCHA之類的？產生表單送至client端前做個記號
推 IsfunHDS:資料是對的 但是是假的 怎麼辦?
→ chrisQQ:上面的這種情況… 沒可能避免吧？
→ hirabbitt:剛剛查了一下php referer 感覺很難假造啊0.0
→ hirabbitt:爬蟲或機器人是怎麼做的?
→ hirabbitt:CAPTCHA的答案也是存在後端吧?
→ hirabbitt:資料是對的 但是是假的 這句真經典XDDD
→ TonyQ:refer 是 client browser 送給 server的header...
→ TonyQ:愛怎麼寫就怎麼寫......
→ hirabbitt:喔? 我試試
→ wxyy:提供一個 Firefox add-ons 可以修改 referer: RefControl
→ wxyy:我唯一用途是用在解除 wretch 擋外連圖片限制.......
→ chrisQQ:可以改 referer 的有 curl… 其他很多語言也都支援～
→ kenzou:不需要改啊  就header裡assign一個referer就好，一般的
→ kenzou:http request library referer default都是blank
→ hirabbitt:所以根本不需要爬蟲與機器人嘛0.0>