nodejs：允许客户端使用脚本但对最终用户隐藏脚本

Question

我在 NodeJS 上的“functions”目录中的静态 HTML 网站中有函数。这些函数到达诸如“登录”之类的端点并通过 XMLHTTPRequest 获取“/用户”信息。

我不喜欢将我的端点暴露给最终用户的想法。是否可以将我的“功能”目录放在我的静态 html 目录之外，例如：

 HTML
     index.html
 FUNCTIONS
     my_func.js

还可以从 HTML 中的 index.html 访问我的功能，例如：

<script type="text/javascript" src="../FUNCTIONS/my_func.js"></script>

我已经知道这是不可能的，因为我试过了，但我得到了一个 404：www.mywebsite.com/functions/my_func.js

但实际上这不是 URL，因为没有 URL，因为我不想将我的“函数”目录托管在可公开访问的 URL 中。

我试过这个：How do I prevent Node.js / Express serving up my application's source code?

创建一个“路线”，以便如果在我的路径中看到“功能”，例如：

    <script type="text/javascript" src="../functions/my_func.js"></script>

它应该重定向到 nodejs 上公共托管 HTML 之外的目录，但它不起作用

我也在 NGINX 级别做过：https://serverfault.com/questions/310124/nginx-redirect-url-containing-php

if ($request_uri ~ .*.functions.*) 
{
    return 410;
}

这确实阻止了函数目录中的 js 被看到（当我将 FUNCTIONS 目录放在 HTML 目录中时）。但是，这也使 index.html 无法加载 js 函数。

Answer 1

您的问题的答案是：不，这是不可能的。

如果您在静态目录之外托管“函数”脚本，那么任何人都无法访问它。如果你把它放在可以访问的地方，那么用户也可以阅读它。

没有办法绕过它。客户端运行的任何代码都可能被客户端读取。甚至二进制文件也可以反汇编，因此不仅适用于 JavaScript 之类的语言，而且适用于编译型语言。

即使人们看不到代码本身，他们也始终能够在浏览器的开发人员工具中看到网络流量，在那里他们可以看到发送和接收的所有端点、参数和数据。

不过，您可以做的是确保每个人都只能对这些端点执行您希望他们执行的操作。因此，您的端点应始终使用例如检查谁在执行请求。身份验证令牌并执行谁可以做什么的规则。这样人们就可以访问您的端点，但他们只能做他们可以用您的前端做的事情。