local-storage - 使用 Firebase 进行 session 管理？

Question

我正在使用 Firebase 构建一个需要身份验证和 session 处理的基本 Web 应用。查看 Firebase Auth 的文档后，我决定使用 email/password Facebook 登录选项。

成功登录后，我们会获得一个 token ，可以在页面刷新时或使用auth()在新选项卡上再次使用该 token 进行登录。但是，为此我们需要将 token 保存在客户端的某个位置。浏览source code for Firefeed它实现了身份验证和 session 处理，token 保存在用户浏览器的 localStorage 中。

这种方法的安全性如何？由于 localStorage 数据对于任何使用浏览器的人都是可见的。有没有更好的替代方案？

Answer 1

简单登录返回的 token 是有时间限制的、用户特定的 token 。如果受到威胁，最坏的情况是允许攻击者在有限的时间内冒充该用户。它们不包含用户的密码或其他敏感数据。

localstorage 只能通过保存它的主机域上的 Javascript 进行访问，因此您访问的其他网站将无法访问它(假设浏览器或您的网站没有受到损害，但如果它们受到损害，则所有赌注已经结束...)

所以，简短的回答，这种方法非常安全。