无PHP与MySQL的动态网站部署到GoDaddy等主机的可行性与安全咨询

你当前的纯前端渲染架构可以在GoDaddy等公网主机上完全正常平稳运行，不会出现兼容性异常：

• 你的站点所有逻辑都在客户端执行，不需要服务端动态解析PHP、查询数据库，仅需要托管平台提供基础的静态资源访问能力，所有公网主机都默认支持该能力。
• 部署时只需要严格保持本地的目录结构上传即可，需要注意检查所有资源引用路径是否为相对路径（不要保留本地开发时的绝对路径，比如C:\xampp\htdocs\js\indexmain.js这类路径需要替换为./js/indexmain.js对应的相对路径），避免出现资源加载失败的问题。

根据不同的安全需求，可采用以下手段：

公开静态数据防篡改 #

• 开启托管平台的HTTPS配置，部署SSL证书，避免数据在传输过程中被中间节点恶意篡改。
• 为所有JS、CSS资源添加子资源完整性校验（SRI），给<script>、<link>标签增加integrity哈希校验属性，浏览器会自动校验资源哈希是否匹配，不匹配则拒绝加载，防止第三方恶意替换静态资源。
• 定期对比本地代码与线上文件的哈希值，发现异常及时回滚到正常版本。

敏感数据防泄露 #

• 不要将敏感数据以明文形式存储在HTML、JS文件中，敏感数据需采用AES等对称加密算法加密后再存储，解密密钥不要硬编码在前端代码中，可通过用户输入或临时存放在sessionStorage中，页面关闭后自动销毁。
• 配置内容安全策略（CSP），在HTML头部添加对应的meta标签，限制可加载的资源域名、禁止不安全的内联脚本与eval执行，从根源上降低XSS攻击窃取数据的风险。
• 敏感数据不要存放在localStorage中，优先存放在sessionStorage或JS运行时的内存变量中，页面关闭即清除，降低被恶意读取的概率。

公开数据防爬取 #

• 对存储核心数据的JS代码做混淆处理，增加爬虫解析数据的成本，混淆时注意不要影响正常业务逻辑运行。
• 可通过托管平台的访问控制规则，对高频访问的IP做频率限制，阻断批量爬取行为。

内容的提问来源于stack exchange，提问作者Mithun Uchil