Integrar o SDK para aplicações web - Web Application Firewall: Central de Documentação do Alibaba Cloud

Para configurar regras anticrawler específicas de cenário, integre o Anti-Bot SDK ao seu aplicativo. Este tópico explica como integrar o SDK em aplicativos web.

Componentes

A integração do Anti-Bot SDK inclui um coletor web e um componente de resposta de api assíncrona.

Coletor web

O coletor web integra os recursos do navegador ou do contêiner do cliente ao sistema anti-bot. Isso permite identificar métodos de ataque indetectáveis apenas pela análise de características no nível de rede, melhorando a proteção.

O coletor web coleta, ofusca e criptografa esses recursos e, em seguida, insere um cookie no domínio raiz e reporta os dados por meio de requisições. Esse processo tem impacto mínimo no desempenho.

O coletor web reúne três tipos principais de informações:

Informações do ambiente do navegador ou contêiner: Inclui detalhes comuns, como tipo e versão do navegador, resolução de tela, fuso horário e carimbo de data e hora.
Sondas de defesa específicas: Essas sondas são projetadas para detectar scripts de bot, drivers e contêineres automatizados comuns no nível do navegador.
Comportamento do usuário: Eventos de mouse, teclado e toque na página.

Nota
Por motivos de privacidade, apenas a temporização das teclas pressionadas é coletada, e não as teclas específicas pressionadas.

Componente de resposta de api assíncrona

O componente de resposta de api assíncrona permite que seu aplicativo web lide com os desafios enviados pelo sistema anti-bot para uma api. Atualmente, esses desafios incluem validação de JavaScript e CAPTCHA. Quando o WAF emite uma resposta de desafio para uma api, este componente a detecta e responde.

O componente de resposta de api assíncrona é puramente funcional. Ele não fornece nenhum recurso de segurança e não coleta nem reporta nenhum dado.

O componente de resposta de api assíncrona funciona da seguinte forma:

O componente reescreve globalmente os objetos de requisição de api comuns na página, como xmlHttpRequest (XHR), Fetch e Form. Ele encapsula esses objetos com uma camada adicional de código, sem alterar suas propriedades originais.
Após a conclusão do hooking, o componente intercepta a resposta a uma requisição antes que o próprio código JavaScript da página possa processá-la. Ele verifica se a resposta é uma ação de desafio retornada pelo WAF, como validação de JavaScript ou um desafio de CAPTCHA.
Se a resposta for do servidor de origem, o componente não executa nenhuma ação e a passa para o código JavaScript do seu site. No entanto, se a resposta for do WAF, o componente analisa o conteúdo algorítmico na resposta, executa o processamento JavaScript necessário e reenvia a requisição com uma nova assinatura de validação. O WAF verifica a assinatura e permite que a requisição chegue ao servidor de origem.

Compatibilidade

Compatibilidade de ambiente: O SDK é compatível com navegadores que usam o mecanismo de renderização do Internet Explorer 8 ou posterior, e com vários contêineres de cliente.
Dependência de cookies: As requisições do cliente devem ser capazes de incluir cookies. A funcionalidade do componente fica comprometida se o contêiner ou a requisição não suportar cookies.
Compatibilidade de hooks: Em determinados cenários de negócio, hooks personalizados em objetos XHR, Form ou Fetch nativos podem entrar em conflito com o componente de resposta de api assíncrona.

Métodos de integração

Faça login no console do Web Application Firewall (WAF) 3.0. Na barra de menu superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da sua instância do WAF. No painel de navegação à esquerda, escolha Protection Config > Bot Management > Bot Management Template e acesse a guia Web Protection > WebSDK Integrations.

A Alibaba Cloud oferece um Web SDK baseado em JavaScript para aprimorar a proteção e resolver problemas de compatibilidade em ambientes de navegador. O sistema suporta os dois modos de integração a seguir:

Integração automática: ative com um único clique. Não modifique o código do seu aplicativo.
Integração manual: Adequada para cenários que não suportam injeção automática, como aqueles que envolvem Function Compute (FC) ou Serverless App Engine (SAE). configure o código manualmente.

Integração automática

Na guia WebSDK Integrations, visualize os objetos protegidos que foram integrados automaticamente. Desative a integração ou ajuste a porcentagem de liberação canary nesta página.

Nota

Ao ativar a integração automática, o sistema injeta automaticamente o SDK nas páginas HTML dos objetos protegidos. O SDK coleta informações do ambiente do navegador, dados de probe de ferramentas maliciosas e registra o comportamento do usuário (excluindo informações pessoais confidenciais) para aprimorar a proteção.
O sistema também insere cookies como ssxmod_itna, ssxmod_itna2 e ssxmod_itna3 nos cabeçalhos de resposta http para obter as impressões digitais do navegador do cliente. As informações de impressão digital coletadas incluem dados como o campo Host do cabeçalho http e a altura e largura da janela do navegador.

Integração manual

Na guia WebSDK Integrations, clique em Obtain SDK na descrição. Insira a tag <script> obtida antes de todas as outras tags <script> na sua página para garantir que seja carregada primeiro.