前情提要

上篇,大概能理解有些檔案位置不想被try,所以需要動態改檔名。 而如果又是有價值的影片,加上token或是用hash去加密,好像也很合理, 總之讓你過期後就不能訪問,必須得經過再次驗證(允許的會員登入後發請求)再去拿到token, 這樣子對於資安來說是很合理的。

這也就延伸了我的新一個問題,有些網站連會員ID都經過加密(!?)。

問題說明

這我就不特別說是哪些網站,就圖片提供,可以看到ID變成了

oKA0twEww4DSxr9HDfMa
5a12d39f5e11b3702fa1922e

這種東西 當然很明顯這種訪問就出現在網址列上的東西,應該不是很重要,點別人的會員空間, 通常就能看到,而且也是固定的,那麼加密的理由不是很明顯呢!

其次是通常要進行這種"不重要"資訊加密,應該也不會是非對稱類型那種太過複雜的(?) 我感覺大約也就是md5之類,不過其長度好像不同, 但確切去理解這兩種是什麼加密並不是我主要目的啦!主要目的是想知道: 其加密的理由、若當我是後臺管理員,該選擇哪一種加密手段用在這種ID上?

延伸討論

像本站的ID就是明文,網路上幫PTT做備份的那個PTT網站也是 (可以輕易透過userID去肉搜PTT帳號的那個網站)

我在想這樣子的所謂"加密" 也對爬蟲沒有什麼抵擋效果才對 難道說僅僅只是一種編碼? 其實會員帳號通常是英文的應該不需要 特地把中文字拿去編碼 如果說是因為保障安全 怕被人家try密碼所以隱藏帳號...? 感覺有可能 只是很多恐怕都能透過FB登入 這樣子的"安全機制"倒也是好像沒很重要 又或者這個編碼就正好是透過第三方憑證登入創造出來的一個code?

以上很多猜想都是我外行的想像 逐漸了解這些 未來有機會我也會架站 希望能深入了解這背後的原理 更重要的是動機 還請前輩多多指教

按讚的人:

共有 4 則留言

網址會出現的 ID 最老派是直接用整數 例如 1, 2, 3, .. 依此類推

會有幾個問題

  • 網站總產品數量、文章數量、會員數量 會被外界輕易得知,這在商業上算是有點洩漏營業秘密

  • 寫爬蟲的人,會更好寫,就一直遞增去爬資料即可

所以,如果不在乎網址的美觀,簡易的 hash 一下,就可避免這兩個問題

按讚的人:

補充一下,有一款簡潔、又有基本 hash 功能的,常用在網址上的,近年很流行

叫做 hashids 有興趣可研究

按讚的人:

uuidV4 剛好看到這東西 有查到此文章的人也可一併搜尋~

按讚的人:

uuid 跟 hashids 用途不太一樣

適用場景也不太一樣,嘿嘿~

按讚的人: