node.js - 通过 Angular 将用户数据存储在 localStorage 中是否安全?
问题描述
我是 Angular 世界的新手,我正在尝试构建我的第一个 Angular 应用程序,目前我不知道在 localStorage 中存储用户数据是否安全,如果不是,我应该怎么做才能保存它?我正在使用 cookie 会话。
这就是我的后端代码的工作方式(这里只有身份验证和授权部分):
const express = require('express');
const session = require('cookie-session');
const crypt = require('bcryptjs');
const config = require('../config');
const router = express.Router();
const users = require('../models/users');
const app = express();
app.use(session({
name: 'session',
keys: config.keys,
secret: config.sessionkey,
cookie: {
secure: false,
httpOnly: true,
path: 'cookie',
expires: new Date(Date.now() + 60 * 60 * 1000 * 24 * 365)
}
}));
router.get('/', (req,res)=>{
if(isAuthenticated(req)){
res.send(req.session.user);
} else {
res.send({"message":"Authenticate first."});
}
});
router.post("/login", (req, res) => {
const email = req.body.email;
const userpass = req.body.userpass;
users.findUserByEmail(email,function(user){
if(crypt.compareSync(userpass,user[0].userpass)){
req.session.user = user;
res.send(user);
}
});
});
router.post("/logout", (req,res)=> {
req.session = null;
res.redirect("/");
});
router.post("/register", (req, res) => {
var user = { "username": req.body.username, "userpass": crypt.hashSync(req.body.userpass, 10) , "email": req.body.email, "birthDate": req.body.birthDate };
users.createUser(user,(err)=>{
if(!err){
res.send({ "message":"Login" });
} else {
res.send({ "message":"Something went wrong during registration please retry." });
}
});
});
router.post("/unregister", isAuthenticated, (req, res) => {
var email = req.body.email;
if(isAuthenticated(req)){
users.findUserByEmail(email,function(user){
if(req.session.user == user){
if(crypt.compareSync(req.body.userpass,user[0].userpass)){
req.session = null;
users.deleteUserByEmail(email,function(err){
if(err){
res.send({ "message":"Something went wrong while deleting the user please retry." });
} else {
res.send({ "message":"User deleted successfully" });
}
});
}
}
});
} else {
res.send({ "message":"Authenticat first." });
}
});
function isAuthenticated(req){
return req.session.user != null;
}
module.exports.app = app;
module.exports.Router = router;
module.exports.isAuthenticated = isAuthenticated;
正如您所看到的,当用户正确登录时,我只是将存储在数据库中的用户数据原样发送给他(显然没有用户密码),那么我应该怎么做才能在角度方面进行安全会话?
解决方案
如果您不熟悉 JWT 的概念,您应该使用JWT在服务器和客户端之间交换身份验证数据,您可以在intro中阅读一些有关它的内容,使用 JWT 您将能够在客户端(Angular)中阅读它和将它保存到localStorage
,并且不用担心它的安全性,因为它毕竟是一个哈希,即使任何人都可以读取它的内容,他/她也无法修改它,因为它只能由您的安全密钥/签名相同地生成你的服务器。
当然,您必须将 jwt 令牌与每个请求一起发送到您的服务器,并且在 Angular 中,interceptors
实现这种方法非常容易。
这是一个完整的示例,展示了 JWT 与 Angular 和 NodeJS 的使用。
推荐阅读
- operating-system - 2个以上的音频节目怎么能同时在扬声器上说出来?
- c++ - 迷失在试图理解这个结构编码问题
- jquery - 将表单输入附加到dom后如何专注于表单输入?
- dart - 如何转换地图
到地图 在飞镖? - mongodb - 如何在 mongo 查询中执行嵌套查找?
- python - 将对象正确导入烧瓶?Flask 无法导入姓名邮件
- spring-boot - java.lang.NoSuchMethodError:org.springframework.web.reactive.socket.client.ReactorNettyWebSocketClient。
(Ljava/util/function/Consumer;)V - scala - Kafka:是否有用于 scala 的 Kalfa 客户端 API?
- object - 对象的ES6过滤器数组是否存在属性
- arrays - 如何以编程方式列出 Ruby 中 Array 的所有方法?