揭秘前端请求加密那些事儿

我的写法，亲测靠谱

在处理请求加密的时候，我一般选择使用HTTPS来确保数据传输的安全性，这是最基本也是最靠谱的做法。不过光是HTTPS还不够，有时候还需要在代码层面再加把锁。我通常会在前端对敏感数据进行加密，然后再发送到服务器。

比如，假设我们要发送一个用户的登录信息到服务器，我会先使用AES算法对密码进行加密，然后再通过HTTPS发送。这样即使数据在传输过程中被截获，攻击者也无法轻易获取明文密码。

const CryptoJS = require("crypto-js");

function encryptPassword(password, secretKey) {
    return CryptoJS.AES.encrypt(password, secretKey).toString();
}

const password = "userPassword";
const secretKey = "mySecretKey"; // 这个密钥需要妥善保管，不能硬编码在前端代码里

const encryptedPassword = encryptPassword(password, secretKey);
console.log(encryptedPassword);

这里使用了CryptoJS库来进行AES加密，这是个非常流行的JavaScript加密库，文档齐全，使用方便。

需要注意的是，密钥的安全性至关重要。上面的例子中，我把密钥硬编码在了代码里，这是非常不安全的做法。实际项目中，密钥应该存储在后端或者通过安全的方式动态生成并传输。

这几种错误写法，别再踩坑了

很多人在处理请求加密时，可能会犯一些常见的错误。下面列举几个典型的错误示例：

• 不使用HTTPS：这是最基本的错误，如果你的网站还是HTTP，那么所有的数据传输都是明文的，很容易被中间人攻击。
• 前端存储敏感信息：不要在前端存储用户的敏感信息，比如密码、信用卡信息等。这些信息应该只存在于用户设备和服务器之间，并且经过加密处理。
• 硬编码密钥：前面已经提到过了，密钥不能硬编码在代码里。正确的做法是通过安全的方式从服务器获取密钥，或者使用动态生成的方式。
• 不更新加密库：加密库也是软件的一部分，也需要定期更新。老版本的加密库可能存在已知的安全漏洞，要及时更新到最新版本。

以上这些错误都是比较基础的，但是很多初学者容易犯，希望大家能引以为戒。

实际项目中的坑

在实际项目中，处理请求加密还有一些需要注意的地方。比如，我在一个项目中使用了RSA加密来保护敏感数据。RSA加密是一种非对称加密算法，可以用来加密数据和验证数字签名。

一开始，我把公钥和私钥都放在了前端，结果很快就发现问题。由于前端代码可以被任何人查看，这意味着任何人都可以获得公钥和私钥，这显然是不安全的。后来我修改了代码，只在前端使用公钥进行加密，私钥则放在服务器上，只用于解密。这样就大大提高了安全性。

另一个常见的问题是，有时候我们会忽略对加密数据的完整性校验。在传输过程中，数据可能会被篡改。为了防止这种情况发生，我们需要对加密数据进行签名，然后在接收端验证签名。这样可以确保数据在传输过程中没有被篡改。

// 使用Node.js的crypto模块进行RSA签名
const crypto = require('crypto');
const fs = require('fs');

const privateKey = fs.readFileSync('path/to/private-key.pem', 'utf8');
const publicKey = fs.readFileSync('path/to/public-key.pem', 'utf8');

function signData(data, privateKey) {
    const signer = crypto.createSign('SHA256');
    signer.update(data);
    signer.end();
    return signer.sign(privateKey, 'hex');
}

function verifySignature(data, signature, publicKey) {
    const verifier = crypto.createVerify('SHA256');
    verifier.update(data);
    verifier.end();
    return verifier.verify(publicKey, signature, 'hex');
}

const data = "This is the data to be signed";
const signature = signData(data, privateKey);
console.log("Signature:", signature);

const isValid = verifySignature(data, signature, publicKey);
console.log("Is the signature valid?", isValid);

这个例子展示了如何使用Node.js的crypto模块进行RSA签名和验证。在实际项目中，可以在前端生成签名，然后将数据和签名一起发送到服务器。服务器接收到数据后，可以使用公钥验证签名，确保数据的完整性和来源的真实性。

以上是我总结的最佳实践，有更好的方案欢迎评论区交流。这个技巧的拓展用法还有很多，后续会继续分享这类博客。