基于Ajax 技术的Web 服务架构及其安全性研究[J].pdfVIP

第２８卷第３期　　　 计算机应用与软件 Ｖｏｌ２８Ｎｏ．３ ２０１１年３月　　 ＣｏｍｐｕｔｅｒＡｐｐｌｉｃａｔｉｏｎｓａｎｄＳｏｆｔｗａｒｅ Ｍａｒ．２０１１ 基于Ａｊａｘ技术的Ｗｅｂ服务架构及其安全性研究 王　正　陆余良　刘金红 （电子工程学院网络系　安徽合肥２３００３７） 摘　要　　在分析了传统Ｗｅｂ服务架构的基础上，对基于Ａｊａｘ技术的Ｗｅｂ服务架构进行讨论，介绍了新架构下Ｗｅｂ应用的优点， 重点分析了Ａｊａｘ架构的四类安全问题，即ＪＳ脚本类问题、注入类问题、跨域类问题和拒绝服务类问题。 关键词　　Ａｊａｘ　Ｗｅｂ服务　安全问题 ＯＮＡＪＡＸＢＡＳＥＤＷＥＢＳＥＲＶＩＣＥＦＲＡＭＥＷＯＲＫＡＮＤＳＥＣＵＲＩＴＹ ＷａｎｇＺｈｅｎｇ　ＬｕＹｕｌｉａｎｇ　ＬｉｕＪｉｎｈｏｎｇ （ＤｅｐａｒｔｍｅｎｔｏｆＮｅｔｗｏｒｋ，ＥｌｅｃｔｒｏｎｉｃＥｎｇｉｎｅｅｒｉｎｇＩｎｓｔｉｔｕｔｅ，Ｈｅｆｅｉ２３００３７，Ａｎｈｕｉ，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ　　ＩｎｔｈｉｓｐａｐｅｒｗｅｄｉｓｃｕｓｓｔｈｅＡｊａｘｔｅｃｈｎｉｑｕｅｂａｓｅｄＷｅｂＳｅｒｖｉｃｅｆｒａｍｅｗｏｒｋａｃｃｏｒｄｉｎｇｔｏｔｈｅａｎａｌｙｓｉｓｏｎｔｒａｄｉｔｉｏｎａｌＷｅｂＳｅｒｖｉｃｅ ｆｒａｍｅｗｏｒｋ，ａｎｄｉｎｔｒｏｄｕｃｅｔｈｅａｄｖａｎｔａｇｅｓｏｆＷｅｂａｐｐｌｉｃａｔｉｏｎｉｎｔｈｉｓｎｅｗｆｒａｍｅｗｏｒｋ，ｔｈｅｅｍｐｈａｓｉｓｉｓｐｕｔｏｎｆｏｕｒｋｉｎｄｓｏｆｓｅｃｕｒｉｔｙｉｓｓｕｅｓｉｎＡｊａｘ ｆｒａｍｅｗｏｒｋ，ｉ．ｅ．，ｔｈｅＪＳｓｃｒｉｐｔｉｓｓｕｅ，ｔｈｅｉｎｊｅｃｔｉｏｎｉｓｓｕｅ，ｔｈｅｃｒｏｓｓｄｏｍａｉｎａｃｃｅｓｓｉｓｓｕｅａｎｄｔｈｅＤｅｎｉａｌｏｆＳｅｒｖｉｃｅｉｓｓｕｅ． Ｋｅｙｗｏｒｄｓ　　Ａｊａｘ　ＷｅｂＳｅｒｖｉｃｅ　Ｓｅｃｕｒｉｔｙｐｒｏｂｌｅｍ ０　引　言 随着网络化和信息化的不断发展，互联网已经成为人们获 取信息的主要渠道。在传统Ｗｅｂ服务模式下，用户和服务器之 间是一种同步关系，服务器在处理请求的时候，用户多数时间只 能等待。这种传统的“请求／响应”方式极大地限制了Ｗｅｂ应用 图１　传统Ｗｅｂ服务基本架构 的交互性，用户体验较差。Ａｊａｘ技术在Ｗｅｂ服务中的应用较好 服务提供者创建Ｗｅｂ服务并通过Ｗｅｂ服务代理将其发布 地解决了上述问题。基于Ａｊａｘ架构的Ｗｅｂ服务为浏览器提供 到Ｉｎｔｅｒｎｅｔ上，响应对其服务调用的请求。服务请求者通过Ｗｅｂ 了与服务器端异步通信的能力，可以实现页面的局部刷新而不 服务代理查找所需的服务，并向Ｗｅｂ服务提供者发送请求以获 是重新加载整个页面，减少了用户的等待时间，更好地满足了用 得服务。服务代理的作用是把服务请求者与合适的服务提供者 户需求，使得Ｗｅｂ应用程序更加人性化，并且逐步得到广泛应 绑定在一起，维护已发布服务的信息。 用。但是，随着Ａｊａｘ应用技术的普及，其安全问题也越来越引 传统Ｗｅｂ服务的工作特征如下： 起关注，相对于传统Ｗｅｂ应用，新架构下Ｗｅｂ应用程序的安全 １）用户每次得到的页面都是全新的； 问题更加难以发现和防范，如果这些安全隐患不能得到合理解 ２）所有的请求来自用户对页面的操作； 决，必将影响新技术的进一步推广。 ３）工作流程是“用户操作－＞服务器响应－＞用户操作－ ＞服务器响应”循序渐进式的，或者说是同步的。具体工作流 １　Ｗｅｂ服务架构 程如图２所示。 １．１　传统Ｗｅｂ服务架构 ［