Angularjs 和打嗝套件答案

【问题标题】：Angularjs and burp suiteAngularjs 和打嗝套件
【发布时间】：2016-04-21 07:49:58
【问题描述】：

我的一位客户说他可以使用 burp 套件查看 html 和 javascript。我们在客户端和服务器端使用了 angularjs，我们使用了 webapi。

他说他不应该在 html 页面中看到敏感数据。我可以知道什么是解决方案。

【问题讨论】：

【解决方案1】：

首先，JavaScript 和 HTML 文件是那些应该发送给用户的数据。 因此，如果您有任何不应向用户披露的敏感数据，请不要将它们包含在 JavaScript 和 HTML 中。

作为最佳实践，为了保护您的客户端业务逻辑（并提高页面加载性能），通常建议将您的 JavaScript 文件添加到 uglify 和 minify。以这种方式，它们变得人类无法阅读。

但请记住，丑化并不会加密您的数据。例如，如果您想在页面上显示您的银行账户余额，可能有一个 JavaScript 变量 bankAccountBalance=100 可以重命名为 b=100（人类无法阅读），但它的值始终是您的银行帐户，即100。

HTML can be minified as well（应该是这样）。但它只是有助于删除换行符、多余的空间等。它并不能保护您的数据。

【讨论】：

在 html 页面中，我们使用了 {{ }} 表达式和 ngbind 类似 {{x.sno}} 的东西。所以客户说这是我们不应该在 burp 套件中显示的敏感信息，我想让你知道从服务器发送和接收的数据是加密的。这真的是敏感信息吗？我们有任何安全问题吗？
据我所知，这不是安全问题。我可以建议说服客户： 1. 将变量重命名为与数据库中的字段名称不同； 2. 使用ng-cloak 或ng-bind（不是{{}}）来防止向最终用户显示{{}}。