javascript - 从javascript传递到web api 2时如何隐藏或保护 token

Question

我在 UI 站点/项目和 Web API 2 以及其他站点/项目上使用 javascript (angularjs)

UI项目:localhost/12345
网络 API : localhost/98777

UI 项目正在调用 Web API (C#) 项目，将 token 从 UI 传递到 WebAPI 以进行 CRUD 请求。

I've generated the token in ServerSide project - WEB API2 (localhost/98777), 1- username / password 2- then the url localhost:/98777/Token, passing username + password + token

wit this way it returns a token if you call it in fiddler: with content-type: application/x-www-form-urlencoded. Like this a token is generated and written to the localDB, later on this generated token can be use in your UI app to call with javascript (ajax/angular) passing to WebAPI project.

我已经在我的客户端站点中实现了调用 GET/POST/PUT 方法的不记名 token 。

localhost/12345 defined in Client site to get employee records via token:
----------------------------------------------
method: 'GET'
contenttype: 'application/json, charset=utf-8',
authorization: "Bearer 040jdU6ry....."
url: localhost/98777/api/employees/

这会返回所有员工的数据......它有效。

localhost/98777 defined in server site web.config:
---------------------------------
<httpProtocol>
 <customHEaders>
   <remove name="Access-Control-Allow-Origin" />
   <add name="Access-Control-Alllow-Origin" value ="*"/>
 <customHeaders>
</httpProtocol>

问题？问题是人们可以在 IE/Chrome/FF 中打开开发人员工具，查看 javascript 的源代码并查看 token 。然后执行Fiddler/composer中的代码，添加记录:(.

那么为什么我需要 token 呢？？？？

有人可以建议我缺少哪一部分吗？人们可以看到 token 是否正常？

此应用程序将在内部网中使用并由开发人员使用，因此我需要最大限度地保护它...

Answer 1

Is it normal that people can see the token?

是的，这很正常。据我所知， token 只是保存身份信息，以及客户端无法修改的一些声明。这是它唯一值得信赖的地方:身份。

服务器端您必须检查( Angular 色/权限/业务规则)对应于 token 身份的用户是否有权执行请求的操作。

永远不要依赖客户端 UI 的业务规则执行。始终仔细检查服务器端，这样你就安全了。