Zugriffstoken wird auf der Registerkarte "Antwort" angezeigt

Question

Ich implementiere eine Web-API mit angularjs. Ich kann es ohne Probleme laufen und bekomme, was ich will, das einzige ist, ich bin in der Lage, meine "access_token" in der "Antwort" Registerkarte meines "Netzwerk" Tab zu sehen. Obwohl es verschlüsselt ist, kann ich es sehen. Meine Frage ist: 1. Ist das sicher? 2. Wie verstecke ich es, wenn es keine gute Praxis ist? 3. Wenn ich dieses "access_token" kopiere und es in eine "Postman" -Anwendung stelle, kann ich tatsächlich authentifiziert werden. Wie gehe ich vor, um das zu vermeiden?

Get Token vom Server

myApp.factory('accountService', [ 
    '$http', '$q', 'serviceBasePath', 'userService', function($http, $q, serviceBasePath, userService) { 
     var fac = {}; 
     fac.login = function(user) { 
      var obj = { 'username': user.username, 'password': user.password, 'grant_type': 'password' }; 
      Object.toparams = function ObjectsToParams(obj) { 
       var p = []; 
       for (var key in obj) { 
        p.push(key + '=' + encodeURIComponent(obj[key])); 
       } 
       return p.join('&'); 
      } 

      var defer = $q.defer(); 
      $http({ 
       method: 'post', 
       url: serviceBasePath + "/token", 
       data: Object.toparams(obj), 
       headers: { 'Content-Type': 'application/x-www-form-urlencoded' } 
      }).then(function(response) { 
       userService.SetCurrentUser(response.data); 
       defer.resolve(response.data); 
      }, function(error) { 
       defer.reject(error.data); 
      }); 
      return defer.promise; 
     } 
    fac.logout = function() { 
     userService.CurrentUser = null; 
     userService.SetCurrentUser(userService.CurrentUser); 
    } 
    return fac; 
} 

]); 

Set und erhalten Sie das Token

myApp.factory('userService', function() { 
    var fac = {}; 
    fac.CurrentUser = null; 
    fac.SetCurrentUser = function (user) { 
     fac.CurrentUser = user; 
     sessionStorage.user = angular.toJson(user); 
    } 

    fac.GetCurrentUser = function() { 
     fac.CurrentUser = angular.fromJson(sessionStorage.user); 
     return fac.CurrentUser; 
    } 
    return fac; 
}); 

Danke.

Answer 1

Für Sicherheit wie folgt vor:

Sicherstellen, dass die Zugriffstoken Cookie ein sicheres Cookie ist.

Stellen Sie sicher, dass der Zugriffstoken-Cookie ein HTTPS-Cookie ist.

Siehe https://developer.mozilla.org/en-US/docs/Web/HTTP/Cookies#Secure_and_HttpOnly_cookies

Auch der Server prob einen geheimen Schlüssel hat das Cookie zu dekodieren. Stellen Sie sicher, dass Sie es privat halten (legen Sie es nicht auf eine öffentliche Repo).

Stellen Sie sicher, dass Sie den Unterschied zwischen Autorisierung (401, wenn nicht autorisiert) und Authentifizierung (403, wenn nicht authentifiziert) verstehen. Der grundlegende Unterschied besteht darin, dass Sie durch die fehlgeschlagene Autorisierung nicht im Stich gelassen werden. Während die Authentifizierung bestimmten Benutzern nur bestimmte Server-Endpunkte zur Verfügung stellt.

z.B. Ein Benutzer in group1 kann zwar Daten abrufen, aber keine neuen Daten POST. Sie würden 403 bekommen, wenn sie versuchen würden, POST zu machen. Ein Benutzer in group2 kann nach Herzenslust POSTIEREN.

Answer 2

Es gibt keine Möglichkeit, das zu vermeiden. Ebenso können Sie Ihren Authentifizierungscookie auf einer beliebigen Website verwenden und Postman verwenden, um als Nutzer auf der Website anzurufen.

Wenn Sie das Token an den Browser senden, kann der Benutzer es erhalten.

Sie müssen sicherstellen, dass Sie auf Ihrer Server-Seite überprüfen, ob der Benutzer Berechtigungen hat, die Sache zu tun, die sie versuchen zu tun. Dann spielt es keine Rolle, ob ein Benutzer den Token nimmt und manuell aufruft, da die einzigen Dinge, die er tun kann, Dinge sind, die er normalerweise über die App tun könnte.