想问一下，做前后端分离的大佬怎么做的后端 api 安全

[guolaopi]

如题，最近在学 vue。一直写.net 的。 在感觉 vue 写页面很爽的时候突然想到，数据都是通过 ajax 传递，后端的 API 是否有什么方法提高安全性？不然增删改这种敏感操作接口暴露被攻击了就不好了。。

[df4VW]

这个跟前后端分离是没关系的，是你逻辑层面要限制你这个用户的权限，不可能你一个普通用户能修改 admin 的密码对吧

[xingyue]

每次请求都带上 token 验证用户身份

[ebony0319]

https，OAuth 2.0，token，sign

[ebony0319]

https，OAuth 2.0，token，sign，再复杂一点用对称加密。

[berumotto]

identityserver4

[guolaopi]

根据 cookie 来判断用户权限吗？

[guolaopi]

@df4VW 根据 cookie 来判断用户权限吗？

[guolaopi]

@berumotto 公司项目有在用，感觉不太好用。。

[guolaopi]

@xingyue token 放到 url 里面嘛

[guolaopi]

@ebony0319 谢啦

[Felldeadbird]

接口暴露了是必然的，被攻击也是必然的。但是就算没有前后端分离，人家不一样爬你数据，DD 你的站么？
后端安全方面，要做的就是鉴权。防止非法操作 获取到敏感的数据。

[xingyue]

@guolaopi 请求头里面 Authorization

[icekingcy]

APIGATEWAY

[murmur]

简单的权限校验可以用框架 业务上的校验就哭吧

[tabris17]

权限验证呗，再加个 ANTI-CSRF 的 token 就 OK 了

[limerence12138]

当你经常看见 401，403 就知道了

[mmdsun]

jwt, rsa