javascript - 在单页 Angular 应用程序中处理安全性有哪些技术？

Question

关闭。这个问题需要多问 focused 。目前不接受答案。

---

想要改进此问题吗？更新问题，使其仅关注一个问题 editing this post .

已关闭 9 年前。

Improve this question

我正在尝试使用 Angular 构建一个单页面应用程序来进行前端开发，并使用 WebAPI 2.0 来构建服务器端对象和 Controller 。有哪些推荐的处理安全性的技术。例如，(1) 如何防止用户通过操纵客户端源来提升其 Angular 色？或者，(2) 如何阻止用户进行 api 调用，比如 api/users，而他们不应该被允许这样做？

Answer 1

如果您使用 WebAPI，那么您很幸运，因为它直接与主机身份验证和授权模块集成。您可以使用任何内置身份验证模块(匿名、基本、集成等)或编写自己的身份验证模块。例如，如果您具有自定义权限，则可以使用这些权限来更新 IPrincipal/IIdentity 并采取适当的操作以仅根据用户允许的内容返回结果。您还可以充分利用授权过滤器。这里有更多信息:

http://www.asp.net/web-api/overview/security/authentication-and-authorization-in-aspnet-web-api

对于客户端代码，您可以在那里做一些事情。如果您使用 WebAPI，您很可能可以使用 MVC 来提供页面服务。在这种情况下，您可以像在典型的 MVC 应用程序中一样保护对资源的访问，因此用户无法导航到他们不应访问的内容。需要注意的是，永远不要呈现 protected 内容的部分内容，这样用户就永远无法“破解客户端”以看到他们不应该看到的内容。

在客户端本身，您可能拥有根据权限公开各种控件的页面。在那里，您可以在客户端存储权限并使用指令来显示或隐藏内容(在某些情况下，您甚至可能会获取从服务器呈现的内容并出于性能原因将其 chop ，因此如果不显示，则永远不会对其进行编译) )。同样，这是发生在客户端上的事情，但仍然不会暴露安全性，因为绑定(bind)到节点的实际数据来自安全的 API。