ציטוט:
נכתב במקור על ידי MasterT
חס וחלילה לא אמרתי שאפשר לוותר על קאפטצ'ה,
אמרתי שאני עשיתי את החשבון ובמידה, ומערכת ששמתי בא קאפטצ'ה בעזרת JavaScript ו"יספימו" אותה - לא יגרם שום נזק, או שהתועלת שזה שאין קאפטצ'ה תיהיה גדולה על ה"נזק" כביכול שיגרם בלי קאפטצ'ה.
אם דיברת אליי - אתה כנראה או שלא קראת את ההודעה, או שהחלטת לזלזל בי בלי קשר - אבל אשמח אם תקרא את ההודעה שנית. תשלח REQUEST לשרת? אז אם,
מופיע האינפוט X (למרות שבעזרת JAVASCRIPT דאגתי שהוא "יעלם"),
או לא מופיע באינפוט Y (יצרתי אותו באופן דינאמי באמצעות JAVASCRIPT),
אני לא "אאשר" את השליחה.
|
אז בא בנאדם או רובוט מחוכם
מריץ את הJS ועושה כל מה שבראשו
אחרי הכל הדפדפן הוא למעשה JS INTERPRETER ואפשר לכתוב אחד כזה בקלות
ואני לא חושב שיש בעיה להוסיף לPOST REQUEST עוד שדות, מה שצריך זה רק לעדכן את הCONTENT LENGTH בהתאם
לוודא דברים כאלו בצד לקוח זה טעות - רק בצד שרת
קראתי את המשך הדיון
אנשים התחרפנתם
בכל אופן
אני יסכם את זה מהניסיון שלי ככה
קודם כל תוודאו אם מה שמדובר עליו בכלל שווה לוודא אותו, לדוגמא לא יפריע לי אם בנאדם מוסיף לעצמו צפיות בסרטון יוטיוב שלו, כי זה בסה"כ צפיות, ממש לא אכפת לי אם מישהו יחליט לאנוס את המדד (את האמת זה עקרוני כי ככה מבצעים PROMOTION לוידאואים וזה באמת עובד אבל חפיף.. אין לי דוגמא חארת בראש)
אחרי שאני כבר יודע שזה משהו שבאמת עקרוני לאבטח הייתי נוקט בצעדים הבאים
קודם כל לא בודק את הדברים ברמה של צד לקוח - טעות עצומה לדעתי ובזבוז זמן טוטאלי - אלא אם כן הזמן שלוקח לכם לוודא את הדברים בשרת גדול, מה שלרוב לא נכון כי לרוב רוב הכניסות הם לעמודי שליפת המידע וההזנה היא חד פעמית או זניחה יחסית לשליפות, אבל נניח וכן ורציתם לחסוך - תעברו לJS ותזרקו את זה אצל הלקוח
שנית הייתי מריץ RECAPTCHA או אם הקהל יעד בארץ - משהו יותר מגניב עם אותיות בעברית או איזה משימה מוקרצת "כתוב את האות שבין ג' לה'" וכד', או סתם נותן לחשב נפח סיבוב של איזה פונקציה טריגונומטרית הזויה P:
בסופו של דבר אתם צריכים כמה שפחות להציק ליוזר אבל כמה שיותר לוודא את תקינות המידע - אל תחשבו על היוזר בתור אחד שבא לאנוס את המערכת שלכם ואל תחשבו עליו גם בתור בנאדם תמים - תדאגו לאמצעים מינימלים שלא יציקו לו אך שלא יתנו יד חופשית למערכת שלכם
איך לעשות את זה? -> זה ממש איך שתרצו - נתתי אמצעים שאני מחבב למעלה - אבל זה ממש מה שבא לכם