security - 使用 Ory/Kratos 登录/注册 API 流程

在文档中，有一个大而明亮的红色警告：

永远不要使用 API 流来实现浏览器应用程序！

在单页应用程序和服务器端应用程序中使用 API 流会打开几个潜在的攻击向量，包括登录和其他 CSRF 攻击。

该文档没有详细说明这些攻击是什么。如果我通过在服务器上存储会话数据、仅允许服务器访问此 API 以及实施我自己的 csrf 保护来正确保护我的应用程序，我是否安全？如果不是，我将面临哪些攻击，我应该采取哪些额外措施？

当然，必须有一种方法来保护我的应用程序，而无需拆除正在运行的 javascript vm，然后依次重定向 3 次以查看登录/注册页面。对于现代应用程序，我认为用户可能会期望这种不连续的转换来成功进行身份验证，但我认为仅查看登录/注册页面就不一定需要这种转换。

标签： securityauthenticationcsrf

有两种使用 Kratos 的方法。

From a WebApp (browser)
From a Native app (iOS, Android...)

第一种方法是使用浏览器重定向并设置 csrf 令牌。

第二种方式不设置 csrf 令牌，因为不涉及浏览器。

这就是为什么会有警告指出任何类型的“浏览器”相关应用程序都不应使用本机应用程序流程中的方法，反之亦然！

例如，这里是您为 API 客户端（本机应用程序）初始化登录流程的方式

这是一个如何为浏览器客户端初始化登录流程的示例

自助服务配置适用于您的浏览器重定向流（即浏览器客户端）。

这个答案的所有功劳归于https://github.com/Benehiko。