javascript - 从 Rails 到 AngularJS 的安全响应

Question

请帮助我，如果用户是管理员，我想显示一个 html 元素，否则隐藏该元素，

例子:

AngularJS:

$http.get('users.json'})
.success(function(data){

    //data user return true and the value true represents admin
    $scope.user = data.user;
});

HTML:

<h1 ng-show="user">Hello Admin</h1>

这里的问题是，任何人都可以打开 firebug 或 devTools 并更改用户范围值。

Answer 1

您完全正确地猜测上述方法根本不安全。

解决方案是要么将本地数据发送到服务器并让它返回安全内容，然后将其动态注入(inject)到 dom 中。

即您的管理相关内容并不总是出现在客户端，只有在身份验证后才会获取(可能通过 AJAX)并呈现。

这会让您的应用更加安全。

您可能还想了解以下用于客户端应用程序安全身份验证的机制:

https://auth0.com/blog/2014/01/07/angularjs-authentication-with-cookies-vs-token/