spring - 无需用户登录即可保护 Spring Boot 应用程序

Question

我正在创建一个 Spring Boot API 并在我正在处理的项目中对前端使用react。前端没有用户登录，但是，我想确保我的 API 端点是安全的，并且只能由我的 react 前端访问，我正在努力想出解决方案。
我正在考虑的一种可能的解决方案是使用 JWT 保护 API。创建用户表并为前端客户端创建用户。当用户访问前端时，获取一个 token 并在所有请求上验证此 token 。我不确定这是否是一种有效的方法，或者是否有其他更合适的解决方案。
该应用程序将托管在 Heroku、堆栈:spring boot、react 和 MySQL 数据库上。任何人都遇到过这个问题或任何建议都非常感谢。

Answer 1

这是不可能的。
从本质上讲，这将要求前端能够访问一些 secret 值，用它来验证它的请求，即 token 。然后，您将根据此 secret 值的存在允许请求，并提供响应。
然而，前端服务于公共(public) Assets ，因此不能有 secret 。归根结底，任何用户都可以检查他们的网络请求，并从前端发出的请求中提取 token 。
有了这些信息，他们就可以伪造自己的请求。