【JavaScript】JSONの中に変数を埋め込むにはどうすればいいですか？

Question

var connection = new XMLHttpRequest();

var url = 'http://<server>:<port>/logon/long';
var body ='{userName:"Sarah", password: "abc"}';

connection.open('POST', url, false);
connection.setRequestHeader('Content-Type', 'application/json');
connection.send(body);

XHRでREST APIを使っています。

問題は、これではユーザー名とパスワードが、
ソースで丸見えになっていることです。

対応策として、
分かりにくくするために正規表現を使い
変数を埋め込むことにしました。

※実際はもう少し複雑ですが、
分かりやすくするために、簡潔な例にしています。

Var FakePass = "1a2b3c"
FakePass = FakePass.replace(/[0-9]/g, "")

var body ='{userName:"Sarah", password: FakePass}';

しかしこれだと、上手くログインできません。

JSONの文字列の中に、変数を埋め込むには、どうすればよいのでしょうか？

ありがとうございます・・・

Answer 1

どのようなトリックを仕込んだとしてもそのコードがクライアント側のJavaScriptで処理されている限り、簡単にハックされてしまうのは避けられません。
根本的に設計を変えて、パスワードそのものを伝送しない仕組みを作るか、伝送路をSSLで保護するのが良策だと思います。

Comments

[退会済みユーザー]

アドバイスありがとうございます・・・SSLを検索してみましたが、初心者の私にはレベルが高すぎで諦めました。もし良いサイトなどあれば教えて頂けますか？　このアプリは社内向けでエンドユーザーも数名、また彼らはプログラミングが分からないので、ぱっとみてパスワードが分からないならOK、ということでこの方法を採用しました・・・

[tkanda]

SSLはネットワーク上を流れるデータを暗号化する技術であって、JavaScriptプログラミングの範疇ではありません。

解りやすく言うと、Webサイトにアクセスする時に http: で始まるアドレスを指定しますよね？SSLで暗号化された通信を行っているWebサイトにアクセスする場合は、これが https: になります。例えばこの teratail も https: で始まるアドレスでアクセスしていますよね、これはつまり teratail へのログインIDとパスワード、書き込み内容等はネットワーク上で暗号化され、保護されているということを示しています。

SSLを使うかどうかはWebサーバーの設定の話であり、プログラミングとは無関係です。
SSLは世の中のほぼすべてのレンタルサーバーのオプションメニューで用意されていますのでご利用のレンタルサーバー業者に問い合わせてみることをお勧めします。

[退会済みユーザー]

ありがとうございます。勉強になりました。ちょっと調べてみます。

Answer 2

JSONとして渡すなら

var body ='{"userName":"Sarah", "password": "' + FakePass + '"}';
```か、
```JavaScript
var body = JSON.stringify( { userName: "Sarah", password: FakePass } );
```したほうが良いです。

【[JSON] JSONフォーマットの書式】
[https://www.ipentec.com/document/document.aspx?page=json-format](https://www.ipentec.com/document/document.aspx?page=json-format)
> 注意 キーは文字列型のみです。

【JavaScript Object Notation - Wikipedia】
[https://ja.wikipedia.org/wiki/JavaScript_Object_Notation](https://ja.wikipedia.org/wiki/JavaScript_Object_Notation)
> ここで注意することはキーとして使うデータ型は文字列に限ることである。

【JSON.stringify() - JavaScript | MDN】
[https://developer.mozilla.org/ja/docs/Web/JavaScript/Reference/Global_Objects/JSON/stringify](https://developer.mozilla.org/ja/docs/Web/JavaScript/Reference/Global_Objects/JSON/stringify)

Comments

[退会済みユーザー]

ありがとうございます！

Answer 3

こんな感じでは?

Var FakePass = "1a2b3c"
FakePass = FakePass.replace(/[0-9]/g, "")

var body ='{userName:"Sarah", password: "' + FakePass + '"}';

Comments

[退会済みユーザー]

ありがとうございます！できました！