这是一个创建于 3061 天前的主题，其中的信息可能已经有所发展或是发生改变。
各位可以从各后端语言或者前端框架说说吗？
 |
1
laoyur 2016-08-10 10:12:34 +08:00
JSON Web Token ？
|
 |
2
a199261800 OP @laoyur 有一个场景，我想直接通过前端 js 调用后端的一个删除 model 的 api 。
我的做法是这个请求里面包含了 token 信息和 modelID ，可是如果被别人从 js 文件里面看到 token 怎么破？ |
|
3
laoyur 2016-08-10 10:39:56 +08:00  1
1. 上 https
2. 页面登录后返回 JSON Web Token 过来 3. 访问 API 时， header 里面带上 JSON Web Token |
 |
4
lee015 2016-08-10 10:41:04 +08:00 via Android
1 楼说的 jwt 可以的，先从服务器取一次 jwt 生成的 token 存起来，请求时带上服务器验证。
|
 |
5
qinxi 2016-08-10 10:44:23 +08:00
参考 spring session 的方式,其实就是 3 楼那种
|
|
6
a199261800 OP @laoyur get 到，多谢！！！
|
 |
7
neosfung 2016-08-10 10:50:46 +08:00
lz 问的是如果别人在 js 文件中看到 token 怎么办
我觉得这个还真的没办法 |
|
9
a199261800 OP @kanezeng 想到一个问题，我的请求是纯 js 的，但是如果有登录的话，是不是登录信息也在 js 这边暴露了？
|
 |
10
jarlyyn 2016-08-10 11:10:57 +08:00
楼主到底在问啥……
如果只传输过程的安全的话， https 。 如果只代码安全的话，能得到 token 的就是有帐号密码的人。 别人都有帐号密码了，到底问题是啥？ 怕浏览器开发商偷你的资料？ |
 |
11
kanezeng 2016-08-10 11:27:01 +08:00
@a199261800 你的 js 应该是读取登陆框的用户名和密码信息啊，然后通过 https 发送到服务器。服务器验证通过后返回一个针对这个登陆的 JWT 给你啊。 JS 里面只有业务逻辑，没有登录信息啊？
|
 |
12
tabris17 2016-08-10 11:28:14 +08:00
Restful 关跨域什么事？风马牛不相及的事情
你要说身份验证和权限验证的方式，倒是有很多 |
 |
13
murmur 2016-08-10 11:38:02 +08:00
什么叫跨域的安全性？首先保证你能用 https 如果 token 丢了神仙都救不了你
|
 |
14
jackmasa 2016-08-10 11:55:51 +08:00
你对一些安全概念缺少了解，比如： CSRF 、 token
|
Select Language