Trwający token uwierzytelniania w AngularJS

Question

Buduję aplikację AngularJS, która współpracuje z interfejsem API, który używa tokenów uwierzytelniania do uwierzytelniania użytkowników. Wydaje się, że wszystko działa dobrze, ale zmagam się z metodą, aby właściwie utrzymać token uwierzytelniania między żądaniami.

W tej chwili, gdy użytkownik loguje się przy użyciu prawidłowych poświadczeń, zwracana jest nazwa authToken i ustawiam ją na $rootScope.authToken. Wysyłam również ten token autoryzacji dla przyszłych żądań, ale jeśli wykonam twardy przeładowanie, ponownie załaduję stronę F5 $rootScope zostanie wyczyszczona i będę musiał ponownie uwierzytelnić.

Jestem świadomy, że mogę przechowywać authToken w ciasteczku, ale czy to byłby najbezpieczniejszy sposób? Czy lepiej wykorzystać pamięć lokalną do przechowywania tokena? Jeśli używana jest pamięć lokalna, czy nie zostanie ona usunięta po ponownym uruchomieniu przeglądarki? Idealnie polubiłbym login, który trwałby przez kilka dni.

Answer 1

Po pierwsze, nie jestem pewien, co jest format swoimi authToken ale localStorage nie powinny być wykorzystywane do jakichkolwiek danych wrażliwych. Korzystanie z localStorage działa świetnie (i przeżywa ponowne uruchomienie przeglądarki), o ile twój telefon authToken jest względnie zabezpieczony przed manipulacją poprzez jakąś formę szyfrowania lub jednorazowo.

Zasadniczo należy uważać, ponieważ ponieważ wartość jest "widoczna" dla wszystkich użytkowników po stronie klienta, należy założyć, że można ją modyfikować lub zwiększać.

Czy myślisz o odwołaniu sesji logowania? Na przykład, jeśli chcesz wylogować się z aktywnych aktywnych sesji swojej aplikacji, jak to zrobić? Ponieważ authToken jest przechowywany po stronie klienta, może być konieczne dodanie znacznika czasu (lub innej unikatowej wartości), który można sprawdzić po stronie serwera.