Это безопасный способ? Redux React Аутентификация - PullRequest
0 голосов
/ 26 октября 2018

Я разрабатываю страницу администратора с функциональностью входа в систему, используя Node.js, реагировать и Redux.

Для входа в систему я использовал jwt.Мой вопрос, это безопасно использовать?Потому что я установил провайдер с магазином вокруг моего приложения.И внутри я проверяю, если user.isauthenticated(), то adminpage Остальное loginpage.

Меня беспокоит магазин.Это один и тот же магазин на странице входа и на странице администратора.Так что у меня есть доступ со страницы входа в магазин, который подключен к странице администратора.

Не безопаснее ли иметь два отдельных магазина?

1 Ответ

0 голосов
/ 26 октября 2018

Ничто на переднем конце не является "безопасным".Реальный вопрос заключается в том, как вы обрабатываете аутентификацию / авторизацию в своем бэкэнде.JWT, безусловно, является безопасным методом аутентификации, но имейте в виду, что полезная нагрузка может быть декодирована любым пользователем, поэтому любая информация, хранящаяся в JWT, видна всем, кто может получить доступ к токену.

С точки зрения безопасности это: может ли пользователь пройти проверку подлинности с использованием вашей службы переднего плана, а затем использовать этот токен для доступа к информации из вашего бэкэнда, которая каким-то образом ему не принадлежит?Если вы правильно построили свой бэкэнд, то ваши внешние магазины не смогут утекать какую-либо информацию, потому что они не смогут получить любую информацию, которую пользователь уже не авторизовал для просмотра / редактирования.

Один сценарий, о котором следует помнить при защите интерфейса: пользователь входит в систему, и конфиденциальные данные сохраняются вашим приложением (независимо от того, является ли он избыточным / локальным хранилищем / и т. Д.).Когда этот пользователь выходит из системы, если эти данные остаются в хранилище, может ли другой пользователь войти в систему, а затем как-то его просмотреть?Надеюсь, что нет.Ваши методы выхода из системы должны удалить любые конфиденциальные данные из этого внешнего приложения, поэтому у любого будущего пользователя не будет к нему доступа.

Надеюсь, это поможет.Возможно, я не обращался напрямую к избыточности, но это потому, что безопасность - это, прежде всего, внутренняя проблема.Redux не следует полагаться на безопасность данных, если только он не удаляет материал навсегда из областей, к которым неавторизованные пользователи могут получить доступ позже.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...