Web系统安全的另一种思路--专用客户端（自制浏览器）

对于Web系统，安全性是一个困扰开发者的老难题，但是对于在一定范围内使用的Web系统，可以考虑另一种思路来保护系统的安全，那就是将Web系统与传统的软件思路相结合，把Web系统当作一个应用软件，制作专用的客户端来访问这个Web系统，而这个专用的客户端就是自制一个浏览器。

1. 制作客户端




不同的Web系统可能使用不同的技术、环境实现的，甚至对用户浏览器有一定的要求，比如有的限制必须使用IE，有的需要支持HTML5等，那么对于不同的情况我们分别来处理。

这个专用的客户端实际上是一个简化的浏览器，它不需要输入url的地址栏，也不需要查看源代码等功能，这样既能控制用户通过url中的参数篡改来攻击系统，又能免去用户记忆系统访问地址的烦恼，其形式类似于现在的移动应用。

1.1. 调用IE内核进行制作

针对要求IE浏览器的Web应用或者使用ASPX的Web系统，建议对调用IE内核制作这个专用可以端，比如可以使用.NET技术，调用WebBrowser控件来实现。此方式和用户操作系统本身的IE浏览器版本有很大关系。

1.2. 使用Firefox的运行环境XULRunner来封装

对于需要HTML5支持，并要求兼容多系统的情况，建议使用此方式，参考文档：https://developer.mozilla.org/en-US/docs/Mozilla/Projects/XULRunner。

1.3. 封装Chrome

Chrome有一个开源版本Chromium，参考文档：http://www.th7.cn/Program/net/201302/124675.shtml。

2. 服务器端做限制

既然制作了专用的客户端，那么我们就需要进行Web系统的访问控制，限制这个Web系统只能通过专用客户端才能访问。


这样就能很好的避免用过通过篡改参数引发的系统安全问题，同时能避免用户通过查看源代码而了解系统的结构所带来的安全问题。除此之外还可以通过这个专用的客户端可以集成更多的扩展功能，比如集成IM、桌面消息提醒等。