月饼事件技术还原 - 用js+Chorme来做抢电商的东西吧

最近看阿里的月饼事件深有感慨啊，嗯，身为一名有职业操守和道德的资深技术人员，我们一定不要像文中说的这样子做。
我们要秉持诚信公开的原则，不能利用系统漏洞。。。好吧，开始进入正题。
我们先看下用什么手段才能先人一步的抢到东西。

整体思路

一般抢购或者竞拍网站。
抢购网站的流程：

刷新一个页面看到是否开抢了，因为现在网站的分布式部署，一个页面对一个域名的请求数目等等的限制，一般这个页面将会是一个链接：urlA。
监控urlA的返回结果，当达到预期值的时候，调用下单的请求，或者是点击事件。

竞拍网站的要稍稍的麻烦一点点：

刷新得到当前的最高报价
然后设置一下期望的报价和加价幅度
然后在期望值之内不停的加价，保证能够在最后抢到期望金额之下的商品

实战

咱们以京东夺宝岛为例，搞一个吧

在Chorme中打开夺宝岛网页，按F12，然后刷新页面
转到Network标签，看所有的请求，研究出那个请求是拿当前价格的
方式是点击请求，看Response中的返回值：

得到链接：http://dbditem.jd.com/json/current/englishquery?
这个链接能够查看所有的出价记录的json字符串，第一个就是当前的报价了

然后就是设置一个加价值，心理价位，然后提交
再次获得最高价，如果不是我出的那么就再次加价，循环这个过程
当然还是的通过Chrome来知道提交加价的请求应该是什么
这里直接列出结果：http://paimai.jd.com/services/bid.action?

查询价，然后加价，最后提交的源代码如下：

var t,count = 1,price=0,pin = getCookie('pin'),f = function(){$.ajax({url:'http://paimai.jd.com/json/current/englishquery?paimaiId='+paimaiId+'&skuId=0&t=964468&start=0&end=9',async:false,success:function(data){var currentPrice = parseFloat(data.currentPrice);console.info("第",count,"次检测商品当前拍卖价格是",currentPrice);if(data.auctionStatus == 2){console.error("商品拍卖结束，获得者",data.currentUser);clearTimeout(t);return;}if(data.currentPrice < 1500) {if(pin != data.currentUser && price != currentPrice){$.ajax({url:'http://paimai.jd.com/services/bid.action?t=369168&paimaiId='+paimaiId+'&proxyFlag=0&bidSource=0&price='+(currentPrice+1),async:false,success:function(data1){console.warn("第",count,"次加价拍,本次出价",(currentPrice+1),"出价结果",data1.message);if(data1.result == 200){currentPrice = currentPrice+1;} else {if(data1.result == 516) {clearTimeout(t);return;}}}});} else {console.info("商品价格未变，忽略加价");}price = currentPrice;t = setTimeout(f,1000);} else {console.error("商品价格高于原价5折，停止加价");clearTimeout(t);}}});count++;
}
f();//暂停
clearTimeout(t)

代码还是比较简单，就不多做解释了。这里说一下有个关键的地方是网页分析的部分。就是从请求中拿到了自己想要的数据。
这样样例的请求是一个json，所以能够直接用了，如果是一个html网页应该怎么办呢？
因为现在的网页一般都用了jquery，所以可以使用jquery脚本来做。他的拾取器还是之棒的。
比如这样：
var val = (‘tr:eq(2)′,html);(‘td:gt(1)’,val).html() 第二个tr的第一个td. 等等

服务器如何防备

最后咱们来说说如何防范这种做法。

让登录变难，防止代码自动登录。 12306的网站的验证码跟高考题一样，就是为了这个，尽量只能真人用户。
但是因为sessionid是放在cookie中的，可以用代码来模拟cookie来保持登录状态，所以就引入了cookie加密的方式。但是不能解决上面说的js脚本的问题。
服务器端针对每一个登录用户，限制刷新等次数。抢华为或者P8的时候经常会遇到太繁忙了啊，请求次数过多啊，等等就是这样的，具体可以用redis来根据用户的session来存次数，甚至于存在本地内存中。这个有机会详细的说。
服务器不根据真正的请求到达顺序来决定抢购结果。可以建立一个池，然后从最小到达的100000请求中取出部分，这样就能够防止，脚本比人快，导致大量都是用脚本抢到的，会相对公平一些。
都是简单的说一下，以后咱们有机会细讲。