这是一个专门讨论 idea 的地方。
每个人的时间，资源是有限的，有的时候你或许能够想到很多 idea，但是由于现实的限制，却并不是所有的 idea 都能够成为现实。
那这个时候，不妨可以把那些 idea 分享出来，启发别人。
每个人的时间，资源是有限的，有的时候你或许能够想到很多 idea，但是由于现实的限制，却并不是所有的 idea 都能够成为现实。
那这个时候，不妨可以把那些 idea 分享出来，启发别人。
这是一个创建于 630 天前的主题，其中的信息可能已经有所发展或是发生改变。
抛开各种鉴权不谈，只是想实现一个简单的全站加密（或者说授权访问）。比较常见的应用就是给朋友分享一下自己写的网站，但是不想被公开访问（考虑到可能托管在各类 pages 上面，希望可以纯前端实现）。
目前的思路是用 service worker 劫持所有的资源（ html,js,css ）请求，用非对称解密之后再返回。
有这种已经实现的轮子吗？或者有没有更好的方案。
 |
1
Jammar 2023-03-07 14:19:39 +08:00
套个 iframe 里面登录
|
 |
2
teem 2023-03-07 14:20:41 +08:00  1
页面弹窗输入密码访问，密码告诉朋友
|
 |
3
liyang5945 2023-03-07 14:20:43 +08:00
劫持所有资源不现实，有已经实现的轮子，hexo 有插件可以把文章内容加密成乱码（查看 html 源码也是乱码），输入密码后访问
|
 |
4
jybox 2023-03-07 14:24:00 +08:00 1
|
 |
5
tool2d 2023-03-07 14:26:04 +08:00
service worker 这种最容易被破解了，和主线程交互几乎都是固定 API ，拦截一下返回值就行了。
你还不如写在 JS 代码里，混淆一下。 除非你网站不可替代，要不然没几个人会反编译混淆后的 JS 。 |
 |
6
leimao 2023-03-07 14:27:26 +08:00
|
|
7
leimao 2023-03-07 14:29:09 +08:00
|
 |
8
mxT52CRuqR6o5 2023-03-07 14:31:26 +08:00
@tool2d 得有密钥才能解密啊
|
|
9
tool2d 2023-03-07 14:33:20 +08:00
@mxT52CRuqR6o5 在 service worker 里 hook api ，返回的应该就是明文了。
|
 |
10
duanxianze 2023-03-07 14:43:01 +08:00
直接在 nginx 加个鉴权不就好了？
|
 |
11
kaedeair 2023-03-07 14:47:59 +08:00
网关负责鉴权就行了
|
 |
12
hingle 2023-03-07 14:55:30 +08:00
直接用 /path 当成密码就行了
|
|
13
mxT52CRuqR6o5 2023-03-07 14:55:56 +08:00
@tool2d 你得先有秘钥，才有可能 hook 到解密完的明文
|
|
14
tool2d 2023-03-07 15:02:48 +08:00
@mxT52CRuqR6o5 没理解，按照楼主的思路，在 service worker 里出来的就是文件明文了啊。
密文仅仅是 url fetch 返回的结果，worker 都内部处理过一次了。如果这时候还没有密钥，那浏览器也没办法解析 html 了。 |
 |
15
liuidetmks 2023-03-07 15:05:01 +08:00
|
|
16
liuidetmks 2023-03-07 15:06:16 +08:00
@liuidetmks 页面很轻巧，使用浏览器自带的 crypto API 实现，没有引入其他库。
|
|
17
mxT52CRuqR6o5 2023-03-07 15:06:42 +08:00
@tool2d 密钥前端输入（比如 input 文本框，又或者放到 url query 里），得到秘钥再去 fetch ，service worker 劫持请求用秘钥解密
|
|
18
tool2d 2023-03-07 15:07:14 +08:00
@mxT52CRuqR6o5 哦，我理解你意思了。就是加密私密 blog ，不输入密钥没办法查看那种。
因为我看到楼主开头写的是加密 html/js/css 全部资源，还以为是自动解密，不需要输入密码那种。 |
 |
20
libook 2023-03-07 15:49:42 +08:00
感觉挺有趣的，理论可行，没有见过相关实现，题主可以做一个，我去 star 。
|
 |
21
v2yllhwa OP @liyang5945 为什么劫持所有资源不现实呢？ hexo 的加密插件我知道，但是仅限于 hexo 能用吧。例如我平时写点前端的小玩意儿打包出来就不能用了。而且用框架的话，主要内容可能都在 js 里面，只加密 html 应该是不行的。
|
|
23
v2yllhwa OP @duanxianze 主题里说过了，可能会托管在 github pages/cloudflare pages 等等，不考虑后端的配合。
|
|
24
v2yllhwa OP |
 |
25
vizards 2023-03-07 16:03:33 +08:00 via iPhone
配合 webpackJsonP 的类似实现，例如重度使用此功能的 webpack5 module federation 可以实现运行时 dynamic import 进相关的 js 代码文件块（加密后），在 service-worker 层挂一个劫持逻辑做解密，或许具有可操作性？编译时要多做一步加密 jsbundle 的操作
|
 |
26
yaphets666 2023-03-07 16:29:22 +08:00
某几个页面不要服务端渲染，#xxxx 的路由还会被收录吗？
|
 |
27
TomVista 2023-03-07 16:39:31 +08:00
把解密方法做成油猴给朋友.
|
 |
28
azui999 2023-03-07 17:11:55 +08:00
不想被公开访问?
把你朋友拽到你屏幕前面并捆绑住他的手脚,以免他拍照录像, 这样基本就能以绝后患了 |
 |
29
Envov 2023-03-07 19:25:43 +08:00
我觉得题主说的方法就是很好的方法
|
 |
30
kele999 2023-03-08 20:04:21 +08:00
叫朋友去你家看
|
 |
31
sobev 2023-03-09 10:17:45 +08:00
github page hexo 主题，有个插件可以输入密码后访问
 ) |
 |
32
xieqiqiang00 2023-03-09 11:46:19 +08:00
“比较常见的应用就是给朋友分享一下自己写的网站，但是不想被公开访问”
你需要的不是 0 信任网络么 |
|
33
xieqiqiang00 2023-03-09 11:48:42 +08:00
[Imgur]( https://imgur.com/HbuZq9V)
|
 |
34
QiaTia 2023-03-09 18:05:36 +08:00
我记得 confirm ，prompt ，alert 这几个 js 方法是能中断浏览器进程， 如果想做的足够轻直接使用 prompt 足够了
|
 |
35
akakidz 2023-03-10 10:01:50 +08:00
内容全部加密发布，给你朋友本地浏览器安装个油猴脚本，本地解密
|
Select Language