除了混淆之外，还有其他方法可以让在 javascript 中获取任何字符串变得更加困难吗？

Question

我使用 DropBox，但从其他计算机访问我的文件时遇到一些问题： 当我使用公共计算机时，我并不总是想登录任何东西，但我喜欢能够从任何地方访问我的东西。

因此，我制作了一个简单的应用程序，当放入公用文件夹中时，运行并给出正确的 UID，创建（仍在公用文件夹中）文件夹（包括子文件夹）中所有内容的 HTML 作为链接树。

但我没有冒险将它加载到任何地方，因为那里有一些私人的东西（是的，我知道该文件夹的名称是“PUBLIC”）。

所以我想出了一个想法，让它成为一个简单的登录页面，只要输入正确的密码，页面的其余部分就应该加载。太棒了！但是如何呢？

如果我通过重定向到同一文件夹上的其他 HTML 来做到这一点，我仍然会将 html 链接放入网络历史记录和管理员的“url 访问”历史记录中。所以我应该在同一页面中生成它。

我已经做到了：

替代文本 http://dl.dropbox.com/u/ 3045472/validate.png

目前，该页面是一个文本框和一个按钮，只有当您输入正确的密码（在生成器中定义）时，页面的其余部分（与链接树）加载。问题在于，所有内容（密码、URL）都可以通过源代码轻松访问。

现在，假设我只想避免愚蠢的人太容易地获取这些信息，而不是制作一个防弹的所有内容包含 NSA 认证的网站，我考虑了一些方法来使这些信息更难获取得到。

正如您可能已经想到的，我使用 StreamWriter 编写一个 html 文件（头部、循环链接、底部），然后它是非常可配置的，我可以想出一个相当混乱但有效的 C# 代码，尽管我的 javascript知识没那么好。

DropBox 中的公共链接如下所示：

总结：如何隐藏 URL 和密码以在我的源代码中显示它们（当然主要是密码），这样就不需要在阅读上付出一些努力？

PS：这不是那么个人化，如果有人真的想要它，它永远不可能得到 100% 的保护，如果它那么重要，我也不会把它放在公共文件夹中，如果那家伙真的想要的话想要那么难，他应该得到它。
PS 2.：“使用 ultra-3000'tron 混淆器！！11”不是真正的答案，因为我的 javascript 是由我的 c# 程序生成的。
PS 3.：我不想要其他解决方案，例如“使用服务器端应用程序并将其托管在某个地方进行重定向和bla bla”或“压缩.RAR文件中的链接并在其中输入密码“因为我这样做也是为了学习，并且我想要其中的刺激=）

更新1： 到目前为止，唯一的答案给出了一种隐藏我的密码的完美方法（根据这个问题）。
现在我想要一个隐藏 URL 的好方法，可能是我给出的示例 URL 的代码片段，如果它太棘手，可能是如何在 C# 中生成它，或者其他什么？

更新2： 我考虑过制作三种“混淆方法”并在运行时随机选择它们。因此，任何弄清楚如何读取一个 XML 的人都只能读取其中的大约三分之一，而且可能很难找到这三分之一的其余部分。

更新 3：
想想 REGEX，URL 可能会被随机添加的虚拟非 url 允许字符整齐地挤满，这些字符会被以下内容删除：

regex.replace(url, ^[^\w\d/:-\.%]+$,"")

所以这个爱管闲事的家伙应该在编程方面有相当高的水平，嗯？谁能告诉我它是否有效？

Answer 1

好吧，看来您已经知道，这是一个相当糟糕的安全机制选择，但如果您坚持...

不要将实际的字符串存储在源代码中。例如，存储其 MD5 哈希。然后，当用户输入密码时，计算其 MD5 哈希值并将其与预期的进行比较。

查看：

• JavaScript 中的 MD5
• C# 中的 MD5

Answer 2

为了详细说明 miorel 的想法，您还可以使用密码作为密钥来加密整个页面。基本上，将所有内容编码成一个大字符串，询问密码并解密该字符串。如果密码错误，它会显示大量垃圾，仅此而已。就像

 content = "encrypted string"

 function decrypt(str, key) { your algorithm of choice here }

 document.write(decrypt(content, prompt('Password?')))

你唯一需要的是 JavaScript 中的解密实现 - 但这很容易通过谷歌搜索，例如 此处或此处。

这也使得单独的“登录”页面变得毫无用处。

Answer 3

诚然，这类似于询问如何在公共场合脱衣而不被人看见，但考虑到这一点，我假设您尝试存储的密码是 DropBox 的密码。我想你可以混淆密码并将其存储在 cookie 中。这至少会阻止某人简单地查看源代码以查看密码，但显然不会阻止某人运行 Fiddler 之类的东西并查看它。

[snipped server side suggestion]

编辑：要合并 URL，为什么不简单地动态构建 URL 并让链接调用 JavaScript 函数来获取 URL？您的服务器端代码将使用混淆的 url 填充此函数中的数组，并且调用代码将简单地将索引传递到该数组中。因此，在查看源代码时，除了静态不安全链接之外，在任何地方都不会出现“http”实例。

添加好的。现在我对这个问题有了更好的了解，设计解决方案就更容易了。有一些库可以在 javascript 中进行网络加密（例如 http://point-at-infinity. org/jsaes/），但问题归结于密钥管理。由于它是 javascript，因此它将是公开的，但您可以设计一些限制来增加确定密钥的难度。一般来说，这些技巧涉及间接。例如，存储由 C# 代码生成并存储在 HTM 文件中的长随机字符流（例如 40-50 或更多）。此外，C# 代码会在您的 javascript 函数中存储一个数组数值，这些数值表示指向 C# 代码用来加密密码（或整个 url）的长文本流的指针。