angularjs - 基于 token 的身份验证 - 安全漏洞？

Question

我们正在做一个 Html5 AngularJS 应用程序。我们正在使用基于 token 的身份验证。身份验证过程使用户登录，然后将 JWT token 返回到存储在 sessionStorage 中的应用程序。

我们要求对应用程序进行安全审核，测试人员表示 token 存储在sessionStorage中是一个大问题。因为他可以复制 token 并从另一台设备模拟用户。

我应该在哪里以及如何存储此 token 以确保其安全？由于黑客需要访问实际设备才能执行此攻击，因此将其留在 session 存储中是否存在风险

问候

Answer 1

提高 token 存储安全性的一种方法是将 token 存储在设置了 HttpOnly 标志的 Cooke 中。这意味着只有当您的应用发出 http 请求时才能访问 token 。