أدوات المطور · مولد UUID
إنشاء UUIDs بدون خادم: لماذا تظل لوحة الشبكة فارغة
· لماذا يهم
uuid التشفير متصفح API
يقوم منشئ UUID عبر الإنترنت الذي يتصل بخادمه بإرسال بيانات وصفية إليك لم تكن بحاجة إلى مشاركتها مطلقًا. يشرح هذا المنشور سبب اكتمال التوليد المحلي في حد ذاته وكيفية التحقق من أن الأداة محلية بالفعل.
لماذا يحتاج منشئ المعرفات إلى خادم - ولماذا لا يحتاج إلى معرفات UUID العشوائية
لماذا يحتاج مولد UUID إلى خادم عندما يكون توليد UUID محليًا بالكامل؟ UUID مستقلة رياضيًا عن أي حالة خارجة عن المولد. الإصدار 4 UUID هو 122 bits من البيانات العشوائية المشفرة مع 4 bits للإصدار و2 bits للمتغير. يتمتع العميل بإمكانية الوصول إلى مصدر عشوائي آمن للتشفير عبر الويب في المتصفحات ومكتبات التشفير المحلية في الخوادم، حتى يتمكن من إنشاء UUID بالكامل محليًا دون استشارة أي خدمة خارجية. ومع ذلك، فإن العديد من مولدات UUID عبر الإنترنت تقدم طلبات HTTP، وترسل البيانات التي لا تحتاج أبدًا إلى مغادرة العميل. وهذا غير ضروري ومن المحتمل أن يكون ضارًا بالخصوصية.
ما يمكن للمولد المستضاف الاحتفاظ به هو سجلات الطلبات والعناوين والطوابع الزمنية، والتي توصف بأنها احتمالات وليست اتهامات
يمكن للمولد الذي يرسل طلبك إلى الخادم الاحتفاظ بسجلات الطلبات والطوابع الزمنية وعناوين IP المرتبطة بأنماط إنشاء UUID الخاصة بك. حتى لو لم يقم بتخزين UUIDs نفسها، فإنه يعرف متى قمت بإنشاء المعرفات ومن أين. بالنسبة للمطور الذي يعمل في مشاريع سرية، قد يؤدي إنشاء المعرف إلى تسرب معلومات حول التوقيت ونشاط التطوير. لأغراض الاختبار، يمكن القول إن UUID الذي تم تنسيقه بشكل صحيح ولكنه انتقل إلى الخادم قد تم اختراقه: يعرف الخادم الآن العمليات أو الأنظمة التي تختبرها. تعد هذه البيانات الوصفية ذات قيمة بالنسبة إلى شركات التجميع ويمكن استخدامها للتحليلات أو إنشاء ملفات تعريف.
لماذا تكون المعرفات نفسها حساسة - UUID الذي يصبح مفتاح سجل هو جزء صغير من بنية النظام الخاص بك
الرد على التدخل غير الضروري للخادم هو أن الجيل المحلي أبسط وأسرع وأكثر خصوصية من الجيل المعتمد على الخادم. يحتوي متصفحك بالفعل على Web Crypto مدمج أو أن الخادم الخاص بك لديه حق الوصول إلى مصدر إنتروبيا نظام التشغيل. يمكن نسخ النتيجة أو تنزيلها أو استخدامها على الفور دون انتظار رحلة ذهابًا وإيابًا عبر الشبكة. لا ينتقل UUID مطلقًا عبر الشبكة. لا يعلم المولد أبدًا أنك قمت بتشغيله. يعد الجيل المحلي هو الإعداد الافتراضي الواضح لمعرفات UUID؛ إن مشاركة الخادم هي وسيط غير ضروري يخلق مخاطر دون تقديم قيمة. يمتلك العميل كل ما يلزم لإنشاء RFC 9562 UUID صالح.
يتم التحقق من الأداة محليًا - فتح لوحة شبكة المتصفح وإنشاء الطلبات ومراقبتها
يمكن للمولد المستضاف الذي يستدعي الخادم الخاص به الاحتفاظ بالسجلات لأسباب مختلفة معلنة: التحليلات لفهم أنماط الاستخدام، أو منع إساءة الاستخدام للكشف عن الهجمات، أو تصحيح الأخطاء لاستكشاف المشكلات وإصلاحها، أو لأسباب غير معلنة للمستخدم: مبيعات البيانات إلى مجمعي التسويق، أو تحليل السلوك لإنشاء ملفات المستخدم، أو التكامل مع الخدمات الأخرى، أو التتبع عبر الخدمات. يحمل الطلب نفسه بيانات وصفية: يكشف عنوان IP الخاص بك عن الموقع والأصل، ويحدد رأس وكيل المستخدم إصدار المتصفح الخاص بك وأحيانًا نظام التشغيل، وتظهر الطوابع الزمنية وقت وصولك إلى الأداة وقد ترتبط ملفات تعريف الارتباط أو معرفات التتبع بالزيارات. إذا قمت بإنشاء UUID، فسيتم تسجيل هذا الطلب. إذا استخدمت لاحقًا UUID في نظامك، فقد يؤدي ربط السجل بنظامك إلى تسرب معلومات حول ما تقوم بإنشائه.
ما تضيفه سياسة أمان المحتوى الصارمة - عدم وجود نصوص برمجية أو خطوط أو علامات تابعة لجهة خارجية يعني عدم وجود قناة مخفية لجهة خارجية
يستخدم المولد ToolAcre سياسة أمان محتوى صارمة تمنع الطلبات الخارجية والبرامج النصية التابعة لجهات خارجية والخطوط البعيدة. يمكنك التحقق من ذلك في رؤوس استجابة المتصفح أو من خلال قراءة العلامة الوصفية CSP للصفحة. لا يتم تحميل تحليلات أو علامات إعلانية أو وحدات بكسل تتبع أو موارد خارجية من جهات خارجية. يتم تحميل كود الإنشاء UUID من نفس أصل الصفحة، لذا فهو يقع ضمن نفس نطاق التدقيق مثل بقية الأداة. يستخدم التنفيذ واجهات برمجة تطبيقات Web Crypto فقط ولا يقوم بإجراء أي مكالمات للشبكة. هذه السياسة قابلة للتحقق وليست مجرد ادعاء.
مثال عملي — فحص خطوة بخطوة للمولد ToolAcre في DevTools، وما تفعله اللوحة الفارغة وما لا تثبته
التحقق واضح ومباشر ويستغرق أقل من دقيقة. افتح أدوات المطور في المتصفح، وانتقل إلى لوحة الشبكة، وامسح أي طلبات موجودة، وأنشئ UUID وشاهد اللوحة. يجب ألا تظهر أي طلبات جديدة باستثناء الأصول الثابتة المحتملة إذا لم يتم تحميل الصفحة بالكامل في البداية. يظهر UUID الذي تم إنشاؤه في منطقة الإخراج بالصفحة، وليس في استجابة الشبكة. إذا رأيت طلبات إلى نطاقات خارجية أو شبكات إعلانية أو خدمات تحليلية، فإن المولد ليس محليًا. إذا لم تشاهد أي طلبات على الإطلاق، فهذا يعني أن الإنشاء حدث في JavaScript الذي تم تنفيذه محليًا في متصفحك.
ما لا يغطيه هذا هو القياس عن بعد لتطبيقك الخاص، والذي يقع خارج سيطرة أي أداة
يوضح المثال العملي عملية التحقق في متصفح حديث. اضغط على F12 أو انقر بزر الماوس الأيمن وحدد "فحص" لفتح DevTools. انقر فوق علامة التبويب الشبكة. أعد تحميل صفحة المولد ToolAcre وانتظر حتى ينتهي التحميل؛ ستشاهد طلبات للصفحة HTML نفسها، CSS أوراق الأنماط، JavaScript وأي صور مضمنة. بمجرد استقرار الصفحة، ابحث عن زر "مسح" في لوحة الشبكة وانقر عليه لإفراغ قائمة الطلبات. الآن قم بإنشاء UUID بالنقر فوق الزر أو الضغط على Enter. إذا كان التنفيذ محليًا، فلن تظهر أي طلبات جديدة في اللوحة. إذا كان الأمر من جانب الخادم، فسترى طلبًا إلى نقطة النهاية مثل /api/generate-uuid أو https://uuid.example.com/v1/random.
الخلاصة: يمكن التحقق من المستوى المحلي — يعمل المولد ToolAcre بالكامل في المتصفح، ولا يخزن أي شيء بين الزيارات ويمكن التحقق منه في لوحة الشبكة
تم تصميم أداة ToolAcre لاجتياز هذا الاختبار من خلال التصميم المعماري. يوفر تشفير الويب API crypto.randomUUID لحالة الاستخدام هذه بالضبط، وإذا لم يكن ذلك متاحًا في المتصفحات القديمة أو السياقات غير الآمنة، فإن crypto.getRandomValues يوفر وحدات البايت العشوائية الأولية التي يمكن للأداة تنسيقها في UUID. التنفيذ قصير بما يكفي للتدقيق: يستدعي المولد إحدى طرق Web Crypto هذه، وينسق النتيجة كسلسلة UUID ويعرضها. ولا يشارك أي خادم في أي خطوة. تعني هذه البنية أيضًا أن الأداة تعمل دون اتصال بالإنترنت؛ بمجرد تحميل الصفحة، يمكنك فصل شبكتك ومتابعة إنشاء UUIDs. لا يزال التشفير المحلي للمتصفح يعمل بشكل مثالي دون الوصول إلى الشبكة.