我觉得怎么写都有危险,毕竟是在客户端运行的,只是危险指数大小问题,而且http头可以伪造,不上你的页面都可以中奖,楼主这个方案我觉得行不通