关于前端生成签名，调用后台接口API安全问题

Question

问题描述

我最近在看解析抖音的接口，然后我这边发现一个网站可以解析抖音，然后我模拟它的请求，打开filbug后才看到竟然有签名，然后我就顺着html找js文件，翻看了2个js文件就把加密的方法搞到手，然后自己复制下来，用那一套生产新的签名，请求接口也是正常的。

你期待的结果是什么？实际看到的错误信息又是什么？

我的问题是：这样前端签名岂不是很不安全？有啥安全的办法吗？

Answer 1

前端没有绝对的安全，前端加密防的是网络上的中间人攻击。
因为http是明文的，网络上的人可以很容易看到原始数据。

在前端加密可以保证走在网络上的是密文，攻击者也能拿到，不过拿到没什么作用。

而你这个直接可以拿到源码，服务端和客户端的请求响应你都能拿到，加密算法也能拿到，你完全可以模拟客户端的行为。
我之前破解头脑王者小程序就这么干的。他也用了加密，不过对我没有卵用，因为你源代码我都拿到了，你怎么加密，我难道不清楚？

对于JS文件，前端JS只有混淆，没有加密，加密完的JS如果没有特定的解析器，普通浏览器无法执行，

Answer 2

可以参考一下人家瑞数牛逼的 js 混淆：https://segmentfault.com/a/11...