Javascript安全问题

Question

在我前面的问题中：确保javascript游戏计时

... 很明显，Javascript/Canvas游戏中的客户端计时是不安全的。我知道关于不信任客户的咒语——这就是导致我首先挣扎的原因。：-）

所以，如果我真的把所有的时间都转移到服务器上并处理它，这是一个后续问题。游戏显然需要在提交之前完成。由于游戏谜题都是Javascript，这就引入了操纵客户端代码来伪造游戏完成的问题。

我已经在一个单独的类文件中创建了游戏JS代码。如果我这样实例化游戏：

var game;
$document.ready(function(){
  game = new Game();
});

...然后，我可以通过控制台访问“游戏”对象及其所有方法和变量。

但是，如果我这样做：

$document.ready(function(){
  var game = new Game();
});

... 然后我无法通过控制台访问“游戏”对象。这似乎有帮助，但有什么我不知道的吗？这个对象是否仍然可以以某种我不知道的方式访问，或者使它在该函数中成为一个更安全的私有变量？

谢谢

Answer 1

不要太在意控制台。是的，如果有全局对象的方法可以很容易地激发以“赢得”游戏，那么作弊的可能性很高，但正如您所演示的，它可以很容易地防止。

因此，黑客只需监听（查看网络窗格）向您的服务器发出哪些请求，然后手动触发它们。如果它们只是一些简单的URL，比如/action=start和/action=end，他可以很容易地手动启动它们，而无需任何计时。因此，您需要防止这种情况（尽管您永远无法真正做到安全），例如，添加额外的凭证令牌。或者你可以在游戏代码中嵌入一些“秘密”，这些秘密在游戏过程中会被泄露，需要发送到服务器以证明其正确性。当然，它们可以从你的代码中读取，但是你必须让它对黑客来说太复杂。这有点像默默无闻的安全…