angularjs - RESTful token 身份验证说明

Question

我几乎阅读了关于 SO 和一些博客文章的所有答案，但我想不出一件简单的事情。在服务器生成 token 并在验证凭据后将其发回给用户的简单 token 身份验证方案中，客户端如何存储并在每个请求中重新发送该 token ？我已经看到了 cookie 示例和 header 示例。如果可能的话，我想使用 HTTP header ，但我无法弄清楚如何将 token 发送到客户端、它所在的位置，然后在请求 REST 资源时将其发回 header 中的机制。

我在前端使用 Jersey/Guice 和 AngularJS。以下是我开始使用的资源:

http://porterhead.blogspot.co.uk/2013/01/writing-rest-services-in-java-part-6.html

Session management : How to generate Authentication token for REST service ? (Jersey)

Answer 1

这取决于您的需求。如果适合您，您可以使用 HTTP basic 或 digest 身份验证。如果不是，那么如果您不需要永久存储，则可以将凭据存储在内存中。如果您需要永久存储，那么您可以将它们存储在本地存储或任何其他客户端存储中，但请注意，它们是 considered not secure .

无论如何，我认为如果您的客户端或服务以某种方式受到 xss 的损害，那么您就输了，您对此采取的其他措施都无关紧要。否则，只要您使用具有正确设置的 HTTPS，就可以安全地以纯文本形式发送凭据。 (但这只是一个意见，我不是安全专家，至少在这个话题上不是。)所以我认为你应该集中精力避免 xss 漏洞。例如，您应该使用 proper headers并针对 js 注入(inject)过滤输入(以及通过 firefox 数据 URI 注入(inject))。并尽可能在您的客户端中使用 TextNode 而不是 innerHTML。