javascript - AngularJS 安全存储介质

Question

我正在使用 AngularJS 开发客户端应用程序。我需要从服务器端请求一些与授权相关的数据一次并将其存储以用于访问控制决策。我不想在做出每个决定之前都请求数据。

我尝试使用浏览器本地存储，但我发现它可以在浏览器中编辑，这在我的情况下是 Not Acceptable 。我也考虑过对授权数据进行加密，但只要加密是在​​客户端完成的，就可以进行逆向工程。

是否有安全(只读)存储可以保存授权数据以适合我的情况？

Answer 1

您正在将数据发送到客户端，这是一个您无法控制的环境。你最多能做的就是让他们修改起来不方便。

使其无法修改？你不能这样做。 (抽象地思考这个问题:你要做的就是禁止用户在自己的设备上执行某些操作。)

这就是为什么各种与安全相关的功能都需要保留在后端(您可以控制的环境)，或者至少包含一个后端组件。

在您的具体情况下，请将处理客户端的查看权限视为一项可用性功能:您不想将用户引导到他们不应该看到的页面，但后端的责任只是提供服务他们实际上被允许访问的数据。因此，如果您有一个恶意用户去了“他不应该去的地方”，则后端将决定不向他们发送他不应该看到的数据。