crsf?

мне кажется никак(

Общается с API клиент, а не сайт.

ага

Поэтому да, тут правильно подсказывают - генерить токены для запросов к апи.

что тоже особо не поможет

в целом - никак

а что делать вообще? генерить страницы на сервере

или все должно через авторизацию работать

Ну тут комплекс мер нужен. Токены, авторизация, лимит запросов.

Ну если кто-то захочет, то он прикинется браузером и все все равно получит

Капчу еще можно)

А то прикидываются тут браузерами всякие)

это просто повысит стоимость =) Antigate 1000 запросов за 1 бакс

больше юзеров напряжет))

А вообще, зачем ограничивать-то? Какая основная идея?

не дать скачать данные

Так если их через браузер можно качать, то какая разница?)

это просто повысит стоимость =) Antigate 1000 запросов за 1 бакс

Фига, какие штуки бывают

усложнить выкачиваение контента

Гу да, если их можно вручную выкачать, значит их можно автоматизированно выкачать

усложнить выкачиваение контента

Может сразу сделать открытое апи и не париться?

Даешь свободный доступ к данным)

история такая: мы сами скачиваем повсюду контент, структурируем и на сайте показываем. заказчик не хочет чтобы эти данные попали кому то

так не давайте их никому

максимум что можно сделать - рендерить на сервере - ввести лимиты и прочее

максимум что можно сделать - рендерить на сервере - ввести лимиты и прочее

Да какая разница, ну распарсят сайт.

Ну через апишку попроще будет собрать

рендерить в картинку

кек

рендерит в картинку - поддерживаю)))

Вообще, я бы сказал, что если контент ценный и нужен людям - вводить платную подписку еще можно.

история такая: мы сами скачиваем повсюду контент, структурируем и на сайте показываем. заказчик не хочет чтобы эти данные попали кому то

сделайте сессии на сайте

в JPG рендерить, так чтобы вообще пздц

С quality 10 )))

сеcсии т.е. доступ к контенту для авторизированных?

да

в видео с небольшим тремором

ну в плане доступ к апи только по авторизации

логин/пароль для сторонних апи пользователей

конкретно для вашего сайта скорее всего подойдёт проверка на host и origin

Да это тоже сомнительная защита. Один раз авторизовавшись я смогу воткнуть Useragent, cookies, host, origin, etc. в скрипт и никто не отличит его от браузера.

только лимиты могут както ограничить

короч спасибо чат

Никакие токены и авторизации не вводить, общаться через ssh каналы.

Есть канал - есть доступ. Нет - тогда сори.

Парни, а кто-нибудь пользуется минифицирование серверных исходников перед выкладыванием их в прод?

А зачем?

Чуток быстрее работает.

Чуток проверок меньше можно делать, вырезая различные конструкции при сжатии

Вырезать конструкции и сжатие это разные этапы

скажем, от assert-ов почистить это к минификации отношения не имеет

А повлиять сама минификация может только на скорость запуска, пока код не скомпилировался

Ну конкретно у нас вырезалка в улгифай встроена

протобуф, трифт?

Протобаф ?

а че тогда?

Есть канал - есть доступ. Нет - тогда сори.

ssh из клиентского джс?

Парни, а кто-нибудь пользуется минифицирование серверных исходников перед выкладыванием их в прод?

очень не рекомендую.. выйгрыш минимальный, а отлаживать это G замучаешься ( поверьте я работал с такими сумашедшими кто так делали, врагу не пожелаю )

+1, когда в лог упадет ошибка, понять, где ее найти не будет никакой возможности

+1, когда в лог упадет ошибка, понять, где ее найти не будет никакой возможности

есть souceMap - Node.js их поддерживает.. но бываю ( редко ) ситуации когда нужно именно исходник отладить

Ну правильно всё

Давайсте сначала минифицируем

А потом добавим сорцмапы, чтобы проблему решить

Через меня пытаются продавить идею «защиты интеллектуальной собственности»™ путём обфускации исходников в продакшене. Я упираюсь всеми силами, но вот решил спросить — вдруг у кого-то был положительный опыт.

на проде минификация - добро. на беке - зло. Или вы продаете их?

Через меня пытаются продавить идею «защиты интеллектуальной собственности»™ путём обфускации исходников в продакшене. Я упираюсь всеми силами, но вот решил спросить — вдруг у кого-то был положительный опыт.

положительного небыло - только негативный!

ERROR: S client not available

Через меня пытаются продавить идею «защиты интеллектуальной собственности»™ путём обфускации исходников в продакшене. Я упираюсь всеми силами, но вот решил спросить — вдруг у кого-то был положительный опыт.

Security through obscurity

это путь в никуда

это только видимость безопасности, а не безопасность на самом деле

Через меня пытаются продавить идею «защиты интеллектуальной собственности»™ путём обфускации исходников в продакшене. Я упираюсь всеми силами, но вот решил спросить — вдруг у кого-то был положительный опыт.

ты им обьясни что на любой обфускатор существуте деобфускатор - причем для JS они очень легко пишустся

https://en.wikipedia.org/wiki/Security_through_obscurity

предложи в ответ заказать аудит безопасности

Уже :) Жду ответа от генерального.

Попутно собираю еще аргументацию, почему не надо тратить человекочасы на борьбу с ветряными мельницами )

самая сильна имплементация такой херни у авито

avito.ru

попробуйте посмотреть скрипты в дебаггере

они наркоманы) только внимание привлекают

разбить коты на кучу микросеврисов сделать несолько из них фейковыми - прогонять через свою систему куча трафа

а потом анализаторами выбирать какую-то часть на которую обрабатывать

попробуйте посмотреть скрипты в дебаггере

тоже тупость - простой прокси срежет всю их “гениальную” защиту

пишите код хуево и даже с дебагером хрен поймут что вы хотите

пишите код хуево и даже с дебагером хрен поймут что вы хотите

+1

вообще наймите отдельно группу разработки которая будет считать на вашем железе в ваших функцияых какую-то другую фигню типа нейросети про моряка папая или дональд дак

пишите код хуево и даже с дебагером хрен поймут что вы хотите

Security via stupidity? :)

обфускация кода это не защита вообще ни разу :о нужно играть с противником

обфускация на клиент сайде необходима

на сервере - ни к чему

так все равно чикуенок еще в далеком году эту историю разгадал а теперь и v8 позволяет смотреть в код который уже преобразован

какую историю?

ну типа как посмотреть преобразованный код

а что разгадывать? берешь и смотришь

ну да и обфускация ни к чем не приводит

они приводят к тому что ниего не понятно

ничего не понятно и без обфускации

смотря кто пишет)

так выпьем же за защитные названия переменных t8, t9 и t513

попробуйте посмотреть скрипты в дебаггере

https://bugs.chromium.org/p/chromium/issues/detail?id=635906