如何保护面向客户端的 json api 免受机器人攻击？

Question

免责声明：我是一名前端开发人员，没有接受过网络安全方面的深入培训。也许我的问题听起来微不足道。坦率地说，我希望是——这意味着有一个简单的解决方案。请不要生气。

我正在开发一个根据现代 Web 应用程序的通用模式构建的单页 Web 应用程序。具体来说，有一个 Web 应用程序本身存在于浏览器中，这是一个基于节点的“前端后端”，负责呈现应用程序并接受来自它的 ajax 请求（其中大部分然后代理到“适当的”后端)，然后是负责 CRUD 操作的“真实”后端：

我们希望确保来自“前端后端”的请求源自浏览器中的客户端应用程序，而不是攻击者的脚本。

作为该任务的一部分，我启用了 csrf 保护（使用 csurf 库），但后来我意识到这可能还不够，因为如果攻击者使用浏览器发出正常请求，请检查它在开发工具的网络面板中，然后将该请求中的 cookie 和标头（以及存储在 cookie 中的 csrf 令牌和密钥）复制到他的脚本中，csrf 保护将无法阻止此类请求。至少据我了解csurf 是如何工作的。

因此，我正在寻找一种更好的方法来确保请求来自客户端应用程序。也许有一种方法可以将基于 csrf-token 的常规保护与时间戳相结合，以确保从请求标头复制的 csrf 令牌暂时过期？或者也许还有其他一些解决方案？我不愿意发明自己的安全机制。请指教？

（我在 security.stackexchange.com 上找到了similar discussion，但几乎没有具体建议）

Answer 1

回答此类问题时首先要说的是“为什么”。您尚未解释您的威胁模型 - 即您试图防御哪些攻击，谁将发起此类攻击，以及这些攻击的影响是什么？正如 melpomene 所说，攻击者已经可以使用您的客户端为所欲为。你想在这里防御什么？

正如 cmets 中所指出的，原则上没有办法实现您想要的：您的后端换前端服务器仅观察流量，而坚定的攻击者可以重现您的客户端 Javascript 使用的任何流量模式。

话虽如此，您可以让攻击者更难了解您的服务是如何工作的，例如通过对数据使用挑战/响应机制或复杂的签名。但是这些“隐蔽安全”技术并没有增加理论上的安全性；攻击仍然是可能的。

另一种势头强劲且可能适用于您的案例的技术是查看呼叫者的行为模式以检测机器人。有几种产品声称可以做到这一点，但我没有使用任何此类工具的个人经验。你可以谷歌例如为detect bot traffic。同样，原则上这些工具可能会被欺骗，但可能会为您的服务增加一些实际的安全性。

最后，您可以在所有操作中使用验证码，以确保（在一定程度上确信）它是人类驱动应用程序而不是脚本。

您需要依靠您的威胁模型来了解什么对您有用。