angularjs - 隐藏 Chrome 开发者工具中显示的 HTTP GET/POST 请求

Question

我有一个用 Angular JS 和 Webapi 开发的应用程序。我已经使用 OWIN 框架使用基于 token 的身份验证。该应用程序部署在一家软件公司中，很少有开发人员了解该技术堆栈，使用 Chrome 开发人员工具并直接访问 api 方法并绕过客户端的验证。有办法控制这个吗？

请找到 Chrome 开发者工具的屏幕截图，其中显示了 Bearer token 、Webapi 方法及其负载。

Answer 1

您无法真正隐藏浏览器上显示的 HTTP 请求。您可以做的是控制谁拥有该访问 token 、其到期时间以及他拥有哪些权限和声明。

您无法对运行该浏览器的用户隐藏该浏览器的事件。

只有在使用正确的凭据成功登录后才应生成 token ，并且开发人员工具上显示的 token 可用于从 postman 等工具调用 API，直到其过期(因此，设置较短的过期时间)。

使用用户 A 的凭据生成的 token A 不应具有操纵用户 B 的数据的权限，并且应明确处理这一点。

因此，一个选择是用户 A 可以窃取自己的访问 token 并使用它来仅操作自己的数据，除非该 token 处于事件状态。