javascript - 使用 localStorage 进行身份验证

Question

我正在尝试弄清楚如何为我的 React 应用程序构建基本的登录/注册功能。因此，我正在考虑创建一个 HoC/父类来执行登录和检查用户是否登录等操作。所以现在我来找你找出存储用户是否登录的最佳方法。我看到的是使用localStorage。但任何真正正确的人都可以访问它，所以我可以只存储一个标志，说 isLoggedIn 或其他什么？我是否必须加密一些 token ，例如用户名.密码，然后在每个页面加载时调用数据库？这似乎有点多了。或者有什么误解？

Answer 1

您可以使用 JSON Web token (JWT)。

当用户登录时，调用后端的 say/login 以根据数据库检查密码。如果成功，则发出包含用户名及其 Angular 色(例如而不是密码)的 JWT。

您始终可以通过直接使用 Javascript 验证 token 的加密签名来判断用户是否已登录(如果可读内容(例如用户名)已被更改，则签名将不再匹配)。这样，您就不需要在 token 过期之前询问数据库。

What I saw is using localStorage. But that could be accessed by anyone really right

没有。它还具有 advantage通过 cookie，它只能从同一域访问。原则上，您的 token 有一种被盗的方式(例如 XSS attacks ，或在您离开时从笔记本电脑上的开发工具复制)，但是您为其添加的到期时间将使得它的有效期只有几个小时。