用Web加密API验证JavaScript中的Browserid断言

Question

Web Cryptography API中提出的在web浏览器中添加JavaScript运行时环境，是否允许我们在浏览器中使用JavaScript安全地验证browserid assertions？

Answer 1

你已经可以在客户端的Javascript中验证BrowserID断言了，但是问题是你不能信任客户端。

例如，用户可以通过代理服务器运行您的代码，代理服务器会更改Javascript以始终声明断言是有效的。除非您正在进行服务器端验证，否则您的服务器代码将容易受到声称一切正常的客户端的攻击，而实际上断言是假的。

任何浏览器API都不会改变这样一个事实，即就服务器而言，您不能依赖客户端做正确的事情。服务器需要自己进行验证。