On 2019-08-20, Wojciech Bancer <w...@g...com> wrote:
> On 2019-08-20, Kris <k...@g...com> wrote:
>
> [...]
>
>>> Chcę zrobić przelew, w znakomitej większości korzystam ze
>>> zdefiniowanych. Haker nie może wiedzieć, jakie mam przelewy zdefiniowane
>>> w systemie. Jeśli zatem widzę, że lista jest pusta to czy nie jest to
>>> wystarczającym sygnałem ostrzegającym dla klienta, że ze stroną coś jest
>>> nie tak?
>>
>> Haker nie wie tez jakie masz saldo konta czy tam innych rachunków. Więc jak
wejdziesz na fałszywą stronę to chociażby po saldzie konta widzisz że coś jest nie
tak
>
> Napisanie "proxy" które będzie pobierało dane ze strony banku

Żeby nie być gołosłownym, to takie najbardziej prymitywne
rozwiązanie to chociażby:
https://github.com/chimurai/http-proxy-middleware

---
var express = require('express');
var proxy = require('http-proxy-middleware');

var app = express();

app.use('/', proxy({ target: 'http://strona.mojego.banku', changeOrigin: true }));
app.listen(3000);
---

Czyli jakieś 6 linijek kodu i wszystko masz "przekazywane", tak że jedynie
po domenie widzisz różnicę. Bank również dostaje wszystkie właściwe dane,
nagłówki przeglądarki itp., wszystko od Ciebie.

Oczywiście banki stosują pewne zabezpieczenia, ale jak ktoś wie co robi,
to i je obejdzie. A w środku powyższego możesz dodać kod dowolnie
modyfikujący wybrane fragmenty strony, czy tego co użytkownik
przekazuje.

Dopisanie więc, że przelew który użytkownik autoryzuje
zamiast 1,00 zł, to <saldo konta>,00 zł, to dość prosta
rzecz.

--
Wojciech Bańcer
w...@g...com