zjsxwc

ADUI One

感觉只是 js 的话不能防止内容被抄袭，比如可以用 PhantomJs 来爬取 js 渲染后的内容，这样内容被获取了，js 也被抄袭者略过了，最多只能和小说网站那样把文本内容变成图片，来增加复制成本。


不过，如果楼主说的网页设计是指前端页面与样式，那么防止被抄袭就简单了，现代框架 react 之流不都是通过 js 来生产 html 的吗，楼主只要提供编译压缩后的 js 给别人就好了，然后再在这个 js 里加料，比如 xss 攻击代码

其实现在迅雷还没我用开源的 Transmission 下载快

@autoxbc
>> 2. 因为写数据相比读数据是个低频行为，所以可以设立单独的 updateToken 方法，每次写数据操作，先 ajax 一个 token，服务器根据用户当前是否合法登录，决定是否返回有效 token。获取到 token 后，附加到写数据函数中。



你如果一定要使用 csrftoken，那么必须每个页面都是独立的 token，如果像你说的提供一个获取最新 csrftoken 的接口，来实现共用一个最新的 csrftoken 的话，你这个获取 csrftoken 的接口本身就有问题了，如何保证不被恶意跨域获取最新 csrftoken 呢？于是这种 csrftoken 方式就完全没有意义了。

@wenzhoou

如果有用户会去折腾浏览器主动禁止 referer，那么我认为这是水平很高的用户了，那么他能够为他的行为负责。

我觉得如果不考虑 ie6 这种老浏览器，其实上 https 与校验 referer 就能防御 csrf，没必要用 csrf token。

@sty

咦，高中校友吗

想到一个解决 spa 页面做 seo 的办法。

1. 首先你要有个工具能够获取对指定 url 浏览器渲染（包括执行 js ）后的 html 内容，比如使用 PhantomJs
2. 剩下的就仅仅只是判断到是 bot 发过来的请求后，就调用 PhantomJs 来转发请求后，把渲染后的 html 返回给 bot。

是不是可以单独搞一套给 bot 看的网站，与正常网站同一套 url，
通过 UA 判断到是 bot 后就给它看。