贴图库家的程序员真牛 b，『没时间解释』

[only0jac]

今天看贴图库开发文档的时候，发现：



因为 token 固定，我就想这样岂不是能让别人随意上传到自己相册？

加他们官方群想问问，运营说这只是个例子

然后我又问，如果纯前端，不经过后端的话，怎么能保证安全，此时我艾特了他们的两个技术



没时间解释……

过了一会又答非所问：



我给他解释了一遍，此时！！！他回复：



嗯，我的网站不牛逼，不用了行不行，你们又不缺我一个用户

不过，以后在网上碰到有让推荐图床的，我会说：千万别用贴图库！

要是有人问贴图库好不好

我就回复：贴图库不好，千万别用贴图库:)

最后说一句，其实贴图库真的能上传到别人的相册

=========

记得有吐槽节点来着，怎么没了

[580a388da131]

纯前端没办法，即便是七牛，也得有个后端获取有有效期的 token 。

[only0jac]

@phithon 那你就把 Token 和文件名一起 md5 以后

token 这不是又到了前端暴露？

[kaer]

一直用七牛
贴图库免费的时候 就在她们群里
但是从没用过 一直不相信她们

[phithon]

@only0jac 但你原始 token 没有暴露呀，这个新 Token 只是个签名而已，用户如果要上传其他文件（文件名不同），就必须要一个新的签名，只要原始 Token 没有暴露，用户就不能随便上传内容。

[jy02534655]

楼主可以参考下阿里云的前端上传示例，这种做法就比较安全了。楼主用的图床理论上应该有类似的用法吧，没用过不发表意见

[import]

这个 token 是用来做 CSRF 验证的么？？

[only0jac]

@kaer 用大厂子放心点

@jy02534655 阿里云的哪个例子？

@import 单纯的上传验证