JAVASCRIPT網頁應用程式設計

模型（Model）和資料

|

53

跨網域請求的安全性

如果你開放讓所有網域的網站透過 CORS/JSONP 等機制存取你的伺服器，勢必得要審

慎評估安全性的問題。同源政策能有效杜絕惡意駭客非法呼叫伺服器（例如 Twitter）開

放的 API，避免個人基本資料遭竊。但 CORS 和 JSONP 則不然。它就像是一般的 Ajax

請求一樣，會將所有的 session cookies 資料透過請求傳送至伺服器，這些資料就足以成

功的登入 Twitter API。如果這些資料被惡意駭客取得，就等於是擁有帳號的完全控制

權；因此，實作 CORS/JSONP 機制時，務必要優先評估安全性問題。

當你選用了 CORS/JSONP 等機制，開放讓所有網域的網站存取你的 API 時，有兩項重

點千萬要時刻謹記於心：

• 別洩露任何機密資訊，像是電子郵件信箱。

• 別讓人進行任何操作（像是 Twitter 的「關注」）。

或者，如果想再進一步降低安全性風險，可以設定允許存取的網域白名單，或是採用

OAuth 認證機制。

把資料寫入 ORM

把資料寫入 ORM 的做法非常簡單。只需要從伺服器取得資料，然後再更新模型資料就

可以了。接下來我們會在

Model

物件裡新增一個

populate()

函式，讓這個函式逐一掃視

傳入的每筆資料、建立實體，最後更新

records

物件：

Model.extend({

populate: function(values){

// 重新設定模型和 records 屬性

this.records ...