node.js - 在 ember.js 中处理安全性

Question

我想开始在客户端使用 ember.js 而不是在服务器端使用 node.js 来构建一些严肃的应用程序。我知道在客户端处理安全性是一件坏事(这是连接用户的角色？他是管理员还是普通用户？)，所以我想在服务器端维护安全逻辑，但我想知道如何使用像 ember/knockout 这样的框架正确地处理它......让服务器创建 token ，这些 token 将在每次后续调用中传递，或者有其他方法吗？

Answer 1

通常，您会有一个用户登录的 URL(REST 或“经典”网页)，服务器会在响应中发回一个 cookie。

从那时起，浏览器将始终将该 cookie 发送回原始域。

您的服务器将有一些中间件来检查此 cookie 在每个请求上是否有效，并允许请求通过或使用 HTTP 401 代码拒绝请求。

您的客户端 javascript 代码必须处理此 401 响应错误，并且在此处理程序中，您将显示/重定向到适当的用户界面以让用户(返回)登录。

所有这些都意味着您不必传递特殊的 token ，您的 cookie 就是 token 并在请求和响应 HTTP header 中传递。