RailsのJavaScript内で、ユーザーから隠蔽された関数を呼びたい

Question

RailsのJavaScript内で、ユーザーから隠蔽された関数を呼びたいです。
経緯は、RailsでFroala editorを使おうと思いDLしました。それで、画像ファイルをAjaxでS3に保存するために、Froala editorのオプションで以下のように指定しました。
https://editor.froala.com/options#imageUploadToS3
より

$(".selector").editable({imageUploadToS3: {
        bucket: 'editor',
        region: 's3',
        keyStart: 'uploads/',
        callback: function (url, key) {
          // The URL and Key returned from Amazon.
          console.log (url);
          console.log (key);
        },
        params: {
          acl: 'public-read', // ACL according to Amazon Documentation.
          AWSAccessKeyId: 'ACCESS_KEY', // Access Key from Amazon.
          policy: 'POLICY_STRING', // Policy string computed in the backend.
          signature: '', // Signature computed in the backend.
        }
        
}});

を直接viewのerbに記述しました。
この、params:のsignature:を指定するには、s3のシークレットキーが必要なのですが、直接このコード内に書いてしまうとユーザー側に知られてしまうので、なんとかしてサーバー側のコードにシークレットキーを記述して、ユーザーに知られないようにしたいです。

signature: function_name,

と書いたら、サーバー側のJSが実行されて、実行結果が返されるような感じにしたいです。
よろしくお願いします。

Answer 1

サーバ側のJSと言っているのがよく分かりませんが、
実現したいことはサーバ側で保持しているS3シークレットキーを返すAPIを、JavaScriptからAjaxで呼び出すということでしょうか？

Comments

[yuya0120117117]

はい。

[k.tada]

Froalaという物を使ったことが無いので、そもそも認識が間違えているかもしれませんが、
例えば`ready()`内でAjaxでサーバ側のAPIにアクセスして、success時にimageUploadToS3オプションの指定をすればいいのではないでしょうか。

[yuya0120117117]

　ちょっと勘違いしていたというか勉強不足だったんですが、s3のpolicyとsignatureは、ユーザーがファイルを選択する前でも作成可能なんですか？

Answer 2

これ？

Browser Uploads to S3 using HTML POST Forms

Comments

[yuya0120117117]

完全にこれでした。
ありがとうございます。
そもそも、'ユーザーから隠蔽された関数を呼びだす'なんてことしなくてもよかったんですね。

Answer 3

　難しいと思います。

たとえば、↓このコードの場合、

document.addEventListener('DOMContentLoaded',function(){
  var a = Math.random();
})

　a の内容はコードに記述されていませんし、無名関数のクロージャの中にありますからグローバルから参照をすることもできませんので、一見 a の内容を知ることは誰にもできないように思えます。
ですが、実際には各ブラウザの開発ツールなどでステップ実行をすれば、変数の内容をウォッチすることができます。

ですから、

signature: function_name,

　のような書き方をできたとしても、ソースを読むだけのスキルがある人にはおそらく漏れてしまうと思います。

Comments

[yuya0120117117]

なるほど。ありがとうございます。