c# - 使用 Angular 时保持 API 共享 secret 的安全

Question

我们有一个现有的 API，我们的一些外部应用程序(Docker 容器等)使用它来回调我们的服务器。它使用 HMAC(共享 secret )系统进行保护。这在从一台服务器向另一台服务器发出调用时效果很好。

但是，我们即将开始将我们的网站从 .NET Web Forms 慢慢转换为 Angular (v6)，我们希望 Angular 能够使用相同的 API 和相同的安全性。

我们设想的是一个单独的 Angular 库，称为 AngularAPICall，它在每个接受公钥和共享 key 作为参数的 session 开始时实例化。然后，每当 Angular 需要回调服务器时，它都会调用 AngularAPICall 中的方法，该方法使用公钥和共享 key 来创建所需的哈希值并构建 API 调用 header .

但是，我们不确定在像 Angular 这样的本地客户端平台上使用它时如何保证共享 key 的安全。我们在哪里/如何存储共享 key ？将它放在 web.config 中不会有任何好处。除了存储它，我们如何将它传递到客户端库 AngularAPICall 并保证它的安全？我们如何保留它以便在调用之间保持它？

或者……我们是不是走错了路？我们是否应该重新考虑如何处理我们在 Angular 中使用的 API 安全性？

Answer 1

在客户端中拥有任何敏感数据是一个巨大的安全问题。客户端可以由任何使用开发人员工具的用户操作，并且它不应包含任何类型的任何共享 secret 。

归根结底，添加像 Angular 或 React 这样的框架可以让您更轻松地构建漂亮的 UI，但它不会以任何方式保护您。

任何类型的 Web 应用程序都需要额外的身份验证层，因为任何查看网络的人都可以拦截一个简单的 secret 。

我建议使用 oAuth或 JWT用于验证有效请求的 token 。理论上，API 端点只有在它们带回敏感信息时才应受到保护。我假设人们在这方面登录这个平台。这些 token 是从服务器生成的，它们在客户端中用于发出请求。您可以假设用户是否登录并从那时起生成第一个 JWT token ，您可以将它们传递给您的 API 请求，因为它只能在经过身份验证的用户的客户端上查看。

当您进入 Web 的大世界时，您需要一些身份验证来保护您的 API，并且那里有很多负载。您在上面所做的事情很快就会被任何人破解。重新考虑您的身份验证模式，记住服务器永远不应该信任客户端!