HTML5 localStorage安全

Question

将localStorage用于敏感数据（假设当前的HTML5实现）会是好的还是坏主意？

我可以使用哪些方法来保护数据，使其无法被客户端计算机访问的人读取？

Answer 1

坏主意。

1. 有人可以访问机器总是能够读取localStorage，没有什么可以做，以防止它。只需在firebug控制台中键入'localStorage'，就可以获得所有键/值对的良好列表。
2. 如果您的应用程序中存在XSS漏洞，攻击者可以使用存储在localStorage中的任何内容。
3. 你可以尝试加密它，但有一个问题。在客户端上加密它是可能的，但意味着用户必须提供密码和，你必须依赖未经过充分测试的加密算法的JavaScript实现。
4. 当然可以在服务器端进行加密，但客户端代码无法读取或更新它，因此您已将localStorage减少为一个美化的cookie。

如果需要安全，最好不要发送给客户端。不受你控制的东西永远不会安全。

Answer 2

公共密钥密码学可用于防止任何类型的入侵。另外，可以使用数据完整性检查（例如CRC或散列）来确保服务器验证数据。