Restful api 如何保障跨域访问安全性？

[a199261800]

各位可以从各后端语言或者前端框架说说吗？

[laoyur]

JSON Web Token ？

[a199261800]

@laoyur 有一个场景，我想直接通过前端 js 调用后端的一个删除 model 的 api 。
我的做法是这个请求里面包含了 token 信息和 modelID ，可是如果被别人从 js 文件里面看到 token 怎么破？

[laoyur]

1. 上 https
2. 页面登录后返回 JSON Web Token 过来
3. 访问 API 时， header 里面带上 JSON Web Token

[lee015]

1 楼说的 jwt 可以的，先从服务器取一次 jwt 生成的 token 存起来，请求时带上服务器验证。

[qinxi]

参考 spring session 的方式,其实就是 3 楼那种

[a199261800]

@laoyur get 到，多谢！！！

[neosfung]

lz 问的是如果别人在 js 文件中看到 token 怎么办
我觉得这个还真的没办法

[kanezeng]

@neosfung token 是登陆之后给每个用户单独生成的啊，不存在于 js 文件中啊。

[a199261800]

@kanezeng 想到一个问题，我的请求是纯 js 的，但是如果有登录的话，是不是登录信息也在 js 这边暴露了？

[jarlyyn]

楼主到底在问啥……

如果只传输过程的安全的话， https 。

如果只代码安全的话，能得到 token 的就是有帐号密码的人。

别人都有帐号密码了，到底问题是啥？

怕浏览器开发商偷你的资料？

[kanezeng]

@a199261800 你的 js 应该是读取登陆框的用户名和密码信息啊，然后通过 https 发送到服务器。服务器验证通过后返回一个针对这个登陆的 JWT 给你啊。 JS 里面只有业务逻辑，没有登录信息啊？

[tabris17]

Restful 关跨域什么事？风马牛不相及的事情

你要说身份验证和权限验证的方式，倒是有很多

[murmur]

什么叫跨域的安全性？首先保证你能用 https 如果 token 丢了神仙都救不了你

[jackmasa]

你对一些安全概念缺少了解，比如： CSRF 、 token

[vjnjc]

@jarlyyn 同意。。。楼主只是纯粹的担心吧