☰

可以使用随机 URL 代替密码吗？

tag-icon • tag-icon web-server authentication password password-protected
可以使用随机 URL 代替密码吗？

使用像这样的由随机字符构成的 URL 是否被认为是“安全的”？

http://example.com/EU3uc654/Photos

我想将一些文件/图片库放在网络服务器上，仅供一小部分用户访问。我主要担心的是这些文件不应该被搜索引擎或好奇的高级用户在我的网站上搜索到。

我已经设置了一个 .htaccess 文件，但我发现http://user:pass@url/在某些浏览器/电子邮件客户端上单击链接无法正常工作，会弹出对话框和警告消息，让不太懂电脑的用户感到困惑。

答案1

是否“可以”取决于图像的敏感度。

如果您不使用 SSL，URL、HTML 和图像本身将缓存在用户的计算机上。这可以但我认为这种可能性不大。

浏览器工具栏，尤其是由运行爬虫程序的公司（例如 Alexa 和 Netcraft）制作的工具栏，可以将访问过的 URL 报告回其父站点，以备机器人稍后前来抓取。

正确的身份验证（例如 HTTP 身份验证或 POST 变量）不应以这种方式缓存或报告回任何父网站。

另一种方法是使用唯一且短暂的 URL。这样，即使它们确实泄露了，也不会有太大影响。当然，您必须不断向合法用户更新新的 URL。

答案2

不，不是真的，这只是通过隐蔽性实现安全这根本就不安全。任何可以直接从互联网访问而没有某种形式的真正保护的东西都会被发现、索引和缓存。

答案3

它们会记录在每一个代理中。除非有人真的发布了链接，否则你不会受到好奇的高级用户和搜索引擎的攻击。

当然要注意生成器的随机性。

我猜你并不是在这里寻求超高的安全保障。

答案4

我想补充另一个可能更可怕的观点，关于像这个例子这样的模糊化 URL。即使你的 URL 没有被意外分享，它也可能会被提交给搜索引擎：

  • 访问者的 ISP。ISP 会收集、挖掘 HTTP 访问数据，有时甚至会直接将其出售给第三方。
  • 访客的云存储。有许多服务可以免费存储书签和历史记录，以便在浏览器安装之间同步。除非他们像 Mozilla 那样预先加密数据，否则可能会暗示相同的数据挖掘做法。

因人而异。

相关内容