¿Puedo leer datos de Captcha desde JavaScript de forma segura?

Question

Utilizamos el control Captcha en un formulario de registro que hacemos la validación completa del cliente para todos los campos en JavaScript (JQuery) junto a la validación del servidor.
Probé de muchas maneras, pero todos escribirán el valor de Captcha en JavaScript que se puede acceder por cualquier persona :(
que busco si hay alguna manera de que me permiten validar valor Captcha en el lado del cliente usando jQuery en forma segura o no se puede hacer?

Answer 1

no se puede hacer.

, JavaScript es del lado del cliente, como usted sabe, y cualquier código del lado del cliente tiene que ser tratado como potencialmente comprometido ya que no tiene control sobre él.

En el mejor de los casos, podría recurrir a enviar un hash salado del valor junto con la sal, pero incluso eso en sí mismo podría usarse para probar valores de suposición antes de enviarlo.

Todo lo demás depende de las llamadas al servidor.

---

Según la petición de comentario, aquí es la idea general:

En primer lugar, en el servidor, calcular una cadena aleatoria para ser utilizado como la sal. Esto debería ser más o menos único en cada solicitud. El propósito de esta cadena es evitar rainbow table attacks.

Ahora, guardando esta cadena por separado, pero también crea otra cadena que es la concatenación de cadena aleatoria y la respuesta de Captcha. De esta nueva cadena combinada generas el hash (por ejemplo, SHA-1) de ella.

using System.Web.Security; 
... 
string hashVal = FormsAuthentication.HashPasswordForStoringInConfigFile(combined, "SHA1"); 

Tanto la cadena aleatoria y el valor hash deben ser colocados en la página de la Javascript para poder leer.

En el lado del cliente, cuando un usuario responde al Captcha, toma la cadena aleatoria y concatenarla con la respuesta (¿entiendes la idea aquí?). Tomando esta cadena, puede usar algo como el SHA-1 JQuery plugin para mezclarlo y compararlo con el hash pre-calculado que envió.

hashVal = $.sha1(combinedString)

Si coincide, es (casi) sin duda la respuesta correcta. Si no es así, entonces es 100% la respuesta incorrecta.

Answer 2

puede usar ajax para publicar el valor actual en el servidor, que responderá como verdadero o falso. eso te impediría hacer una publicación real y también regalar el valor de catpcha en html.

Answer 3

Mi solución)) Cada vez que la página muestra captcha para el usuario, puede generar dinámicamente funciones de JavaScript ofuscadas (creo que es la mejor manera 5 o 10). Por ejemplo, una función (o 3))) puede establecer cookies con hash pregenerado (el servidor lo devuelve) (del valor real del captcha), otras funciones deben realizar un algoritmo del lado del servidor para verificar el valor que ha escrito el usuario. Puedo decir que funciona al 100%, porque es muy difícil de analizar de forma dinámica javascript + configuramos cookies de usuario en el lado del cliente (es muy difícil para Bots averiguar dónde y cómo establecer y verificar las cookies), mediante el uso de JavaScript .