javascript - 为多个客户端渲染 html View

Question

我正在编写一个 Node.js 服务器，它使用动态 HTML 页面响应 HTTP GET 请求，并根据客户端请求检索一些数据“即时”呈现。

为了识别每个客户端，我使用 session token (JWT)，并将其与其他信息一起作为每个 GET 请求中的查询参数发送回服务器，即:

my.domain/api/service?token=blablabla&req=123

确实有效。我想知道将 session token 作为查询参数发送是否是一个好(且安全)的主意。我会在 header 中发送它，但在客户端页面上比较困难，因为现在我只需为上面的网址设置一个 href 标记。

您推荐另一种方式吗？

Answer 1

安全方面，如何发送并不重要，只要它不包含敏感信息(例如密码)，因为它没有加密，而是经过编码并且 token 可以很容易地被解码容易地。

即使有人(黑客、用户等)更改了 token ，服务器也会验证并注意到这一点(如果您已正确设置验证)，并且您可以拒绝对页面、媒体、数据的访问或您的用户请求的任何内容。

重要! 使用 SSL! 否则黑客可以从其所有者那里窃取 token 并自己使用它，服务器只检查它是否有效且未被更改，而不检查它来自哪里从。了解更多:man-in-the-middle attack

<小时/>

如何做到这一点完全取决于您和您的项目，但是我个人会通过 header 发送它。