javascript - Heartbeat/keep-alive 服务刷新 CSRF token

Question

我们有一个完全面向服务的 Angular Web 应用程序，并且 ng-front 端正在通过 ng-services(到目前为止的标准)使用 REST Web 服务。为了避免来自机器人或程序的任何自动 POST 请求，我们使用 CSRF(跨站点请求伪造) token ，该 token 经过服务器验证并在 15 分钟后过期。

问题:如果我们在同一页面上有很长时间的 session 而不重新加载，则 token 会过期(例如在仙女期间或由于长表单)。

我们的想法是构建一个保持事件状态的服务(心跳)以在后台自动“刷新” session (直到客户浏览器打开)。

有什么想法吗？最佳实践？谢谢

Answer 1

在后台创建一个keep-alive服务来刷新

 @RequestMapping(value = "/api/keep-alive", method = RequestMethod.GET)
    public boolean keepAlive() {
        //TODO refresh token session
        return true;
    }

在你的主 Controller 位置:

 var v = setInterval(function () {
         currentlyFetching = $http.get('api/keep-alive');
  }, 15 * 1000);

并且您的 keep-alive/heartbeat 服务已经到位。