Они общедоступные

Но я хочу их защищить

Ну тогда у тебя постановка вопроса хромает

от кого?

Хотя звучит парадоксально

Тебе нужно карту на стороне сервера рендерить, только так

От тех, кто хочет спереть

Спереть - значит они доступны не всем?

Ну просто кто-то допустим хочет кровнособранные места использовать в коммерческих целях

Зашел во вкладку

А там все

Координаты, инфа

Или типа как были проекта "как мне защитить мой js от того, что его скачают и будут использовать в другом месте"

никак.

Короче, это web

Все, что попадает клиенту - украдено

И походу никак

Таки да : (

Ты хочешь защить то парсига типа?

Чтобы работало только через браузер

*парсинга

Ага

Я уже подумал, может их как-то шифровать

Отдавать ответом зашифрованные

А дешифровать на клиенет

Да какая разница в шифровании, если на клиенете, чтобы показать эти данные, ты их расшифруешь

Тем же токеном

да, но их сложнее достать тогда

Ну я просто выдеру токен с клиента, подставлю в свой скрипт и буду дешифровать

Да, бляха : ( Точно

Проверяй на сервере признаки парсинга: заголовки запросов, ip, useragent, частоту запроса с одного клиента и т/д/

Но это не факт, пойми. Если кому-то надо будет, напишут более умный парсер. ВСЕ что идет на клиент, можно легко забрать. ВСЁ

Это да...

поэтому только отдавай минимум инфы

как с помощью faker сгенерировать уникальные даты в диапозоне?

@negasus Спасибо за беседу!

@negasus Спасибо за беседу!

Да не за что

Вот еще вопрос, может быть тут кто-то поможет

Если API публичное

Потому что если на одном домене все крутится — там понятно

Хотя все, вопрос отпал скорее всего. Т.е. нужна авторизация пользователя получается

А их он уже вводит сам

И ничего нигде не хранится

Но вопрос такой например: я делаю какой-то js-виджет, например, как Яндекс.Метрика

Там есть какой-то код, который по сути ключ

Аааа… все, понял. Матчит по домену? Т.е. позволяет получить/отправить информацию только с этого домена, где он установлен и который соответственно указан в настройках?

Или вот такой пример: <script> window.ChatraSetup = { language: (document.documentElement && document.documentElement.lang) || 'en' }; ChatraID = 'hX8ihkAcyHK93ue99'; (function(d) { var n = d.getElementsByTagName('script')[0], s = d.createElement('script'); s.async = true; s.src = (d.location.protocol === 'https:' ? 'https:': 'http:') + '//call.chatra.io/chatra.js'; n.parentNode.insertBefore(s, n); })(document); </script>

Здесь есть ChatraID, насколько безопасно хранить такую инфу? Или если злоумышленник захочет получить какую-то инфу с Chatra.io у него ничего не выйдет, потому что ему нужно делать запрос только с того домена, где он установлен?

Или по этому ключу вообще никакой информации не выдается?

Вот мучает меня этот вопрос

Но с другой стороны, там все во фрейме крутится

А там уже свой например csrf-токен, и он сам у себя к себе шлет запросы?

Или как это все делается?

Тебе никак не определить запрос к твоим данным делаетбраузер или парсер

Про то, что я писал с общедоступными данными — там я уже понял

Вот вопрос как работают такие виджеты. Они все тащат только потому, что у них все во фрейме? Получается js лежит там же, где и сервак

Вот пользователь, который пишет в чат

Он ведь никак не авторизовывается

А инфа попадает только в нужный аккаунт

Вот я и хочу понять на этом примере, как это работает

Сервер присылает каждому клиенту уникальную куку

когда у тебя фрейм, у тебя механизм csrf работает

ага, с фреймом понял

Сервер присылает каждому клиенту уникальную куку

а он как-то по-другому еще авторизовывает приложение?

или только куки на клиенте хранит?

И всё?

А нет, вот еще по ходу

в чём вопрос-то?

Но это не факт, пойми. Если кому-то надо будет, напишут более умный парсер. ВСЕ что идет на клиент, можно легко забрать. ВСЁ

мля, на прошлой работе мне выжрали моск!!! Дилер жаловался что его товары с доски обьявлений нашей, на след день появляются на какомто поисковике ( который честные ссылки н анего выдавал и все. типа яндекс Маркет) Типа забаньте его и все. и начальство доигралось до меня - типа вычисли и убей... вроде умные люди все программисты, тимлиды да техдеректора.... Максимум из логов смог вычислять дюжину известных ботов и клонов и пару впн пулов с пару дюжин ip по 30 запросов с кадого) и каждый день новые пулы..и кто есть кто - хз. как ты их забанишь то с открытого сайта... идиоты случаются

Бывает, да

Понятно, что побороться можно, но часто "стоимость" борьбы больше чем условный ущерб от парсинга

в чём вопрос-то?

еще как-то авторизовает сервак этот фронт?

а раз не справляешься - минус пол ЗП (премия) )))

Хорошо хоть гугл не попросили забанить

Хотя там легче

еще как-то авторизовает сервак этот фронт?

какой сервак и какой фронт, может всё же аутентифицирует?

не скажи - гугл ботов я тоже нашел с дюжину ))) типа голый ip без заголовков но Хуис выдает подсети гугла

посоветуйте светлую тему на пшпшторм