前端如何做好安全这块？

[Colorful]

我们公司主要做手机话费充值的，昨天突然被个人盗刷了，用 fiddler，然后修改参数，支付了上百笔。 每笔都是 1 分钱

框架用的是 vue，加前端端分离，公众号上的功能，支付是微信支付，支付的过程中是调用后端的接口。

知道大部分安全是由后端去弄，但请教下，前端能够做好哪些或者说哪些需要注意的？ 之前没接触过安全这块

现在已经改好了

[ByZHkc3]

明显是没有对价格参数做校验啊

[amazingrise]

@Colorful 楼上有个人说的对，post 时传商品 id 就可以。公钥加密也不行。fiddler 通过 mitm 把 https 都给破了。。公钥加密也是属于密码学的忌讳，自己造轮子了，还不如 https。。改成传商品 id 就 ok

[Colorful]

@domty
我没有说甩锅给谁，我只是想知道前端这块有哪些可以做的

[Colorful]

@amazingrise 这倒是个不错的想法

[yamedie]

上 HTTPS,
既然是微信公众号项目, 至少不要让页面在非微信浏览器里被访问 (用微信 snsapi 静默授权可以保护起来)

[amazingrise]

哦对了还要设定同一 ip 交易间隔，防止恶意刷单。不过我感觉这不太像前端的锅，前端手段解决得不是很彻底。。

[otakustay]

这是标准的重放攻击了，跟前端没啥关系，加验证码加手机短信验证吧

[Colorful]

@yamedie
这个都有做的

[Colorful]

@amazingrise 同一 IP 交易间隔，这个确实不错

[amazingrise]

@yamedie 虽然 https 对 fiddler 无效，但是微信授权这个很棒！

[amazingrise]

如果非要在前端动手脚，可以学学 Google 登录的套路，我记得有个文章分析过。个人水平局限，了解不深，lz 可以去搜索一下相关分析文章。不过这个难度不小。。。

[Colorful]

@amazingrise 好的，感谢，我去找找

[cyclone]

《 Web 前端黑客技术揭秘》 钟晨鸣 / 徐少培
不想深入可以只看最后一章

[kisshere]

第一次听说前端还和安全挂钩。。。

[M4ster]

对提交参数进行签名，签名算法的代码做好混淆保护，很大程度上可以提高攻击 /测试者的门槛。

[nekoneko]

杀死前端

[lutla]

……前端被迫干安全？

[chairuosen]

绝对是设计不合理造成的

[loading]

所谓的提高成本是把菜鸟挡一下，在金钱面前，抓包花点时间就搞定了。

后端职业操守:永远不相信用户发来的数据。

[killerv]

前端需要注意的安全一般是 xss 这些，你说的这个问题是后端的范围。