我正在尝试将 facebook 身份验证嵌入到我的应用程序中。 我最初的努力是在浏览器中登录并获取代码。我将此代码传回我的 api 并获取访问 token (保留在服务器中)并通过我的服务器将我的所有请求路由到 FB Api。对我来说似乎完全安全，因为我的客户没有任何信息能够作为我的应用程序对 FB 进行授权调用。
然而，我一直在研究 FB Javascript SDK，以避免编写用于打开和关闭对话框的代码，并注意到它允许我getLoginStatus 并返回访问 token 给我。此外，我在他们的文档中查看了 FB 身份验证流程，他们说客户端-服务器混合流程可以在服务器实际将“长期访问 token ”返回给客户端并建议我使用 HTTPS(公平)的情况下执行。
现在这一切让我开始思考这是否是一个安全问题。作为一名潜在的黑客，我不能在用户的网页中注入(inject)一些 javascript 来
a) 创建一个getLoginStatus 并获取访问 token ，或者
b) 只获取访问权限通过向我的 api 服务器发出请求并获取访问 token
然后使用它来发布(假设用户授权我的应用程序这样做)到 facebook，就好像我的应用程序正在这样做一样？
我是一名安全新手，可能忽略了这里的一堆东西，但有人可以帮助我了解我缺少的东西吗？
提前致谢!
PS:我确实知道我可以启用进一步的安全性，以确保每次我想发出客户端无法执行的请求时都需要应用程序 secret ，因为该信息在客户端永远不可用。
最佳答案
我不是安全专家，只是一些想法:在您的问题中，您假设黑客使用恶意软件以某种方式将脚本注入(inject)用户浏览器中的网页，然后该脚本与您在客户端的数据进行交互.
现在，如果我们想象这真的发生了，并且恶意脚本拥有对网页数据的完全访问权限，即使您在客户端上没有访问 token ，是什么阻止了恶意脚本向您的服务器发出请求并通过您的服务器与 Facebook 互动？
此外，如果用户打开 facebook 本身并在那里授权，则恶意脚本可以注入(inject) facebook 页面并代表用户执行任何操作，只需将请求发送到 facebook 服务器。
这样，我认为如果您描述的情况发生了，您是否在客户端存储访问 token 并不重要 - 无论如何，邪恶的脚本将能够完成它的工作。
实际上，如果您担心安全性 - 首先仔细检查所有与身份验证和安全性相关的 facebook 文档，并遵循他们的建议。其次 - 搜索常见的已知攻击向量和如何避免应用程序中的安全风险的建议。 如果用户的计算机上已经安装了能够改变浏览器行为(例如将其他脚本注入(inject)页面)的恶意软件，您可能无能为力。
关于javascript - Facebook Javascript SDK 安全问题？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/43960666/
我想为Heroku构建一个Rails3应用程序。他们使用Postgres作为他们的数据库，所以我通过MacPorts安装了postgres9.0。现在我需要一个postgresgem并且共识是出于性能原因你想要pggem。但是我对我得到的错误感到非常困惑当我尝试在rvm下通过geminstall安装pg时。我已经非常明确地指定了所有postgres目录的位置可以找到但仍然无法完成安装:$envARCHFLAGS='-archx86_64'geminstallpg--\--with-pg-config=/opt/local/var/db/postgresql90/defaultdb/po
尝试通过RVM将RubyGems升级到版本1.8.10并出现此错误:$rvmrubygemslatestRemovingoldRubygemsfiles...Installingrubygems-1.8.10forruby-1.9.2-p180...ERROR:Errorrunning'GEM_PATH="/Users/foo/.rvm/gems/ruby-1.9.2-p180:/Users/foo/.rvm/gems/ruby-1.9.2-p180@global:/Users/foo/.rvm/gems/ruby-1.9.2-p180:/Users/foo/.rvm/gems/rub
我正在编写一个小脚本来定位aws存储桶中的特定文件，并创建一个临时验证的url以发送给同事。(理想情况下，这将创建类似于在控制台上右键单击存储桶中的文件并复制链接地址的结果)。我研究过回形针，它似乎不符合这个标准，但我可能只是不知道它的全部功能。我尝试了以下方法:defauthenticated_url(file_name,bucket)AWS::S3::S3Object.url_for(file_name,bucket,:secure=>true,:expires=>20*60)end产生这种类型的结果:...-1.amazonaws.com/file_path/file.zip.A
我的最终目标是安装当前版本的RubyonRails。我在OSXMountainLion上运行。到目前为止，这是我的过程:已安装的RVM$\curl-Lhttps://get.rvm.io|bash-sstable检查已知(我假设已批准)安装$rvmlistknown我看到当前的稳定版本可用[ruby-]2.0.0[-p247]输入命令安装$rvminstall2.0.0-p247注意:我也试过这些安装命令$rvminstallruby-2.0.0-p247$rvminstallruby=2.0.0-p247我很快就无处可去了。结果:$rvminstall2.0.0-p247Search
由于fast-stemmer的问题，我很难安装我想要的任何rubygem。我把我得到的错误放在下面。Buildingnativeextensions.Thiscouldtakeawhile...ERROR:Errorinstallingfast-stemmer:ERROR:Failedtobuildgemnativeextension./System/Library/Frameworks/Ruby.framework/Versions/2.0/usr/bin/rubyextconf.rbcreatingMakefilemake"DESTDIR="cleanmake"DESTDIR=
当我尝试安装Ruby时遇到此错误。我试过查看this和this但无济于事➜~brewinstallrubyWarning:YouareusingOSX10.12.Wedonotprovidesupportforthispre-releaseversion.Youmayencounterbuildfailuresorotherbreakages.Pleasecreatepull-requestsinsteadoffilingissues.==>Installingdependenciesforruby:readline,libyaml,makedepend==>Installingrub
我正在尝试使用boilerpipe来自JRuby。我看过guide从JRuby调用Java，并成功地将它与另一个Java包一起使用，但无法弄清楚为什么同样的东西不能用于boilerpipe。我正在尝试基本上从JRuby中执行与此Java等效的操作:URLurl=newURL("http://www.example.com/some-location/index.html");Stringtext=ArticleExtractor.INSTANCE.getText(url);在JRuby中试过这个:require'java'url=java.net.URL.new("http://www
我意识到这可能是一个非常基本的问题，但我现在已经花了几天时间回过头来解决这个问题，但出于某种原因，Google就是没有帮助我。(我认为部分问题在于我是一个初学者，我不知道该问什么......)我也看过O'Reilly的RubyCookbook和RailsAPI，但我仍然停留在这个问题上.我找到了一些关于多态关系的信息，但它似乎不是我需要的(尽管如果我错了请告诉我)。我正在尝试调整MichaelHartl'stutorial创建一个包含用户、文章和评论的博客应用程序(不使用脚手架)。我希望评论既属于用户又属于文章。我的主要问题是:我不知道如何将当前文章的ID放入评论Controller。
在Ruby中是否有Gem或安全删除文件的方法？我想避免系统上可能不存在的外部程序。“安全删除”指的是覆盖文件内容。 最佳答案 如果您使用的是*nix，一个很好的方法是使用exec/open3/open4调用shred:`shred-fxuz#{filename}`http://www.gnu.org/s/coreutils/manual/html_node/shred-invocation.html检查这个类似的帖子:Writingafileshredderinpythonorruby?
首先回顾一下拉格朗日定理的内容：函数f(x)是在闭区间[a,b]上连续、开区间(a,b)上可导的函数，那么至少存在一个，使得:通过这个表达式我们可以知道，f(x)是函数的主体，a和b可以看作是主体函数f(x)中所取的两个值。那么可以有， 也就意味着我们可以用来替换 这种替换可以用在求某些多项式差的极限中。方法： 外层函数f(x)是一致的，并且h(x)和g(x)是等价无穷小。此时，利用拉格朗日定理，将原式替换为 ，再进行求解，往往会省去复合函数求极限的很多麻烦。使用要注意：1.要先找到主体函数f(x)，即外层函数必须相同。2.f(x)找到后，复合部分是等价无穷小。3.要满足作差的形式。如果是加
