不允许从地址栏调用 javascript 函数

Question

我正在与一个在线游戏网站合作。 有一些事件调用 javascript 函数，并且该函数有一些带有回调的操作。

像这样的东西，

 <input type="button" onclick="changeSomething"/>


 function changeSomething() {
         /// some call back, which changes something 
 }

现在任何知道这一点的人都可以从浏览器的地址栏中调用这个changeSomething，这是我不想要的。

不太可能有人会这样做，但我想允许这样做。

有什么办法可以防止这样的情况发生吗？

谢谢。

PS我尝试过，但仍然不确定我是否解释得足够好。 如果您没有得到任何东西，请告诉我。

Answer 1

您永远无法获得 100% 的保护，免受您尝试的任何技术的影响。 这是一场必败的游戏。

话虽如此，接近您目标的一种方法是完全删除 onclick 属性，并通过 javascript:

html:

<input id="foo" type="button" />

js:

addEvent(document.getElementById("foo"), 'click', function() {
    /// some call back, which changes something
})

绑定您的点击处理程序（即“changeSomething”）：然后回调将变为匿名（例如，没有“changeSomething”）不再起作用）。 这些邪恶的用户如果不知道它的名字就无法直接调用它！

围绕这种技术仍然有很多方法，但我们不会提及这些，以免给邪恶的人提供想法:)

（顺便说一句，addEvent 只是一个用于添加事件处理程序的示例库函数。我确信您可以访问一个。如果不是给你。）

Answer 2

我认为你对此无能为力。 客户端可以在自己的浏览器中运行他们想要的任何内容。 唯一要做的就是验证服务器端的所有内容。 这是所有网络编程中的一个重要概念。 客户端代码可以自由修改，并且应该被视为一种额外的检查以加快速度，而不是一种安全方法。

Answer 3

您必须在接受请求的任何后端上处理此问题。 假设您仅在某些条件下为用户提供 doSomething() 选项，您可能在数据库（或其他）中拥有此信息。

不要担心 JavaScript 被调用（没有办法绕过它），并在后端执行与前端相同的检查。 这样，您就可以忘记保护前端的安全，因为无论如何您都做不到……但您仍然可以防止恶意用户在不应该做的事情时doSomething。

如果您需要进一步澄清我的意思，请告诉我，但我需要有关您的应用程序架构的更多详细信息。

Answer 4

任何“解决方案”都会像禁用网页中的右键单击一样有效...对于后一个问题，我找到了至少十几种解决方法，包括在 Opera 中查看页面！

如果禁用此功能，则可以使用 Firebug、Greasemonkey 甚至某些动态修改 HTML 的代理来解决此问题，更不用说使用页面的本地副本等了。

Answer 5

可以通过传递ID来检查点击的来源：

<input id="good' type="button" onclick="changeSomething(this.id)"/>

 function changeSomething(myId) {
   if(myId!='good') {
    return;
  }

 //......code
}

修改为：

<input id="good' type="button" onclick="changeSomething(this)"/>

     function changeSomething(myId) {
       if(myId.id!='good') {
        return;
      }

     //......code
    }