2

Até aonde um usuário final pode modificar o JavaScript e manipular tudo? Pelo que eu saiba é literalmente tudo, mas se for mesmo existe uma maneira de evitar? Ou precaver ou simplesmente impedir a edição do JS por Firebug ou algo assim.

2
  • 2
    Relacionado: "Como proteger o código fonte?" (a pergunta foi pra Java, mas minha resposta vale sobretudo para casos como JS, em que a inconveniência de se ocultar o código é grande). A propósito, nenhum código consegue impedir o usuário de mexer nele, não importa se é compilado, interpretado, etc. Só se o hardware em si for resistente a esse tipo de alteração (por exemplo, os smartphones não-jailbroken / não-rooted não permitem que você mexa no seu software de forma arbitrária).
    – mgibsonbr
    Commented 9/04/2015 às 5:37
  • Um equivoco que é tomada como verdade sobre ofuscação de código é de que se para mim é difícil ou impossível entender a mensagem para os outros será difícil ou impossível a decodificar. Ao longo da história guerras foram ganhas explorando essa presunção e a nossa disciplina nasceu explorando essa premissa. Commented 3/08/2022 às 18:13

3 Respostas 3

5

Basicamente não tem o que fazer. À partir do momento que o seu software envia código para um computador desconhecido para executar lá, é prerrogativa desta máquina fazer o que quiser com o código. Nem seria justo deixar um desconhecido executar um código que bem entende sem o dono do ambiente de execução poder interferir.

Existem algumas técnicas que podem dificultar um pouco, mas quem quer fazer, fará. Não vale o esforço, ele certamente será ineficaz e qualquer técnica será derrotada com relativa facilidade. Na pior das hipóteses o usuário não tentará porque não tem valor algum em fazer, o que significa que a tentativa de proteção é inócua.

Uma destas técnicas é a ofuscação de código. Se o código ficar muito ilegível será mais difícil modificá-lo. Se eu fosse fazer algo assim, seria esta técnica que adotaria, mas eu estaria ciente da ineficácia dela.

E este é um dos maiores motivos para nunca confiar em nada que venha de um cliente, as pessoas sempre podem mudar algo.

4
  • 3
    "Nem seria justo deixar um desconhecido executar um código que bem entende sem o dono do ambiente de execução poder interferir" +1 por isso, infelizmente é bem nesse sentido que boa parte do mercado está caminhando... (ex.: dispositivos da Apple, onde você não controla o que executa no aparelho que você comprou - a Apple controla)
    – mgibsonbr
    Commented 9/04/2015 às 5:41
  • 1
    @mgibsonbr +2 :) (um aqui e outro lá na outra) Sem querer entrar em polêmica, e já entrando, eu queria entender em que ponto o mundo se perdeu em demonizar uma empresa e esqueceu da outra que fazia coisas ainda piores. Deve ser por isto que não tenho SmartPhone :) Que é coerente com o que faço com sites que atrapalham minha vida, eu os ignoro.
    – Maniero
    Commented 9/04/2015 às 7:46
  • 1
    Sem citar nomes fica difícil dizer, pois todas as principais empresas têm ao menos uma manchinha em sua história... No caso citei a Apple por ser a primeira que me veio à cabeça, mas se me lembro bem o modelo de trusted computing que a Microsoft defende/defendia ia na mesma linha: colocar controles no hardware limitando os softwares a um conjunto "confiável". Até aí tudo bem, o problema é quem decide o que é confiável e o que não é... Esse tipo de iniciativa acaba dando muito poder aos fornecedores em nome de uma suposta segurança.
    – mgibsonbr
    Commented 9/04/2015 às 8:12
  • 2
    Mas é isto que eu quis dizer, a primeira faz o usuário de gato e sapato e é amada, a segunda é demonizada por ter abusado no passado. Eu sou favorável do controle pelo usuário, inclusive que ele tenha a opção de dar controle à alguma empresa, se ele quiser.
    – Maniero
    Commented 9/04/2015 às 8:16
2

O usuário sempre vai poder usar um proxy para interceptar as comunicações com o servidor e modificá-las antes dos dados chegarem ao browser. Não tem o que fazer mesmo.

0

Sim, até onde eu sei você pode brincar com o JavaScript de um site, alguns navegadores até disponibilizam um console para você poder depurar o seu código (como o Chrome). E tem sim algumas maneiras de evitar, mas como dizem, o que é "seguro" hoje em dia?

Método 1

Serei sincero, não li o artigo inteiro, porém mesmo que ele seja bem antigo, acredito que o método ainda seja "usável" (caso contrário, me avisem por favor). Basicamente, ao invés de você chamar o script pelo modo convencional:

<script src="script.js"></script>

Você chama um outro arquivo, que no caso é um do tipo .asp e faz uso das requisições AJAX para poder ocultar o código. Link do artigo: http://www.linhadecodigo.com.br/artigo/3502/como-ocultar-seu-codigo-via-ajax.aspx

Método 2

Eu prefiro essa forma, pois ela também acelera considerávelmente a velocidade de carregamento da página. Esse método consiste em usar um ofuscador que comprime seu código e o deixa ilegível, trocando/encriptando (depende de qual ferramenta irá usar) boa parte do código. Existem diversas ferramentas online que fazem isso para você:


Lembrando que como eu disse, nada é seguro hoje em dia, principalmente quando o seu código está exposto diretamente a qualquer um. É por isso que é sempre importante ser consciente ao criar um script e nunca colocar credenciais neles (como senhas de bancos de dados), bom senso nunca é demais.

Caso queira dar mais uma lida sobre o assunto: https://stackoverflow.com/questions/194397/how-can-i-obfuscateprotect-javascript

1
  • 3
    Esse link do seu método 1 me deu dor-de-cabeça... :P Quanta gambiarra pra tentar controlar o que o usuário faz ou deixa de fazer com seu site! Mas numa coisa eles têm razão, ninguém burla essas técnicas (eu por exemplo quando as percebo saio do site imediatamente e nunca mais volto rsrs). E não dá pra deixar de notar, pois elas tornam o site muito mais chato de utilizar (mas se eu quiser muito eu as contorno fácil, fácil). P.S. Não dou -1 pois vejo que sua intenção é ajudar, mas no geral acho uma resposta errada sobre segurança pior do que resposta nenhuma. "nada é seguro hoje em dia" oi?!
    – mgibsonbr
    Commented 9/04/2015 às 5:55

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .