django-rest-framework - 对于 Django DRF 后端，一种身份验证方法是否更安全？

Question

我想使用最安全的方法将我登录的用户 session 存储在 cookie 中。
后端建立在 Django 和 DRF 上，所以我在用于 token 身份验证的 simplejwt 插件或 djangos 默认 session 身份验证之间进行选择。
前端不是 SPA，但最终也会有一个移动应用程序。所以我一直倾向于 token 身份验证，将它们存储在生命周期很短的 httpOnly cookie 中。但在那一点上，我想知道我是否本质上只是以迂回的方式进行 session 身份验证？
对于此应用程序，一个比另一个更好(在安全性方面)吗？

Answer 1

我认为没有最安全的身份验证方法。每种方法都有优点和缺点。要拥有一个安全的应用程序，不仅需要良好的身份验证，还需要其他最佳安全实践。
互联网上有一个神话，即 httpOnly cookie 会在 XSS 的情况下拯救你，这是不真实的。在 XSS 的情况下，可以直接读取存储在 localStorage 中的值。 cookie 中的值(httpOnly 或 not)可用于 XSS 情况下的恶意请求(它们不会像在 localStorage 中那样直接访问，但可用于“坏”请求，例如更改密码)。为了防止 XSS，不要在 cookie 或 localSotrage 中存储任何身份验证数据。每次刷新网站时强制用户登录 - 这是最安全的。
在我看来，身份验证没有 Elixir ，如果您打算添加移动应用程序，那么使用 token 身份验证(可以是 JWT 或 DRF token 或 django-rest-knox)可能是一个很好的解决方案。
我使用的是 DRF token + Djoser它具有管理身份验证所需的所有 URL(并且很简单)。 Djoser 的一个不错的功能是它在注销时删除 token 并在登录时创建一个新 token 。当有人窃取您的 token 时，只需注销即可无效。我将 token 存储在 localStorage 中。我正在使用具有一些 XSS 防御机制的 React。此外，我正在使用内容安全策略和 HTTPS(使用 Let's encrypt)。我只使用受信任的软件包。我希望这可以为应用程序提供安全性。它是 100% 安全的吗？可能不是... 有没有 100% 安全的东西可以连接到互联网？可能不是。我的建议是尽最大努力确保安全。