客户端 API 安全性

Question

我正在我的网站上实现Olark 实时聊天，我所要做的就是实现以下 js 代码。

  <script type="text/javascript" async>
      ;(function(o,l,a,r,k,y){if(o.olark)return;
      r="script";y=l.createElement(r);r=l.getElementsByTagName(r)[0];
      y.async=1;y.src="//"+a;r.parentNode.insertBefore(y,r);
      y=o.olark=function(){k.s.push(arguments);k.t.push(+new Date)};
      y.extend=function(i,j){y("extend",i,j)};
      y.identify=function(i){y("identify",k.i=i)};
      y.configure=function(i,j){y("configure",i,j);k.c[i]=j};
      k=y._={s:[],t:[+new Date],c:{},l:a};
      })(window,document,"static.olark.com/jsclient/loader.js");

      /* Add configuration calls below this comment */
      olark.identify('XXXX-XXX-XX-XXXX');
  </script>

我想知道像Olark、Disqus 和类似公司这样的第三方JavaScript 插件 是什么技术？

如您所见，olark.identify() 在我的网页上是公开的，您可以通过“检查元素”找到它。那么他们如何处理安全性并退回不需要的请求？

  olark.identify('XXXX-XXX-XX-XXXX');

Answer 1

这是一个相当广泛的问题，但我会尝试回答：

很多这些工具并不能真正阻止不需要的请求。例如，可以在完全不相关的网站上嵌入 disqus 评论块。

我认为这不是最糟糕的事情，因为：cmets 出现在其他地方有什么问题？一开始就已经是公开信息了。

需要准确阻止它们嵌入哪个域的脚本倾向于使用 CORS 和 Origin 标头来确保这一点。或者，他们可以使用来自document.location 的信息。

从某种意义上说，这不是“硬”安全性，它完全禁止滥用，但它使用浏览器沙箱使其更难被滥用。