reactjs - Django + React中的用户登录

Question

我浏览了很多关于全栈 Django + React Web 应用程序中用户身份验证的教程（例如this、this和this ）。所有这些都只是使用 POST 请求将从用户收到的用户名和密码发送到后端。在我看来，如果用户离开计算机一分钟无人看管，任何人都可以从浏览器的网络工具中的请求标头中获取他的密码。这是一个必须注意的有效问题吗？如果是这样，应该如何修改这些示例？正确方法的教程/示例将不胜感激。

标签： reactjsdjangosecurity

Answer 1

在我看来，如果用户离开计算机一分钟无人看管，任何人都可以从浏览器的网络工具中的请求标头中获取他的密码

1. 如果用户无人看管计算机，那么您所描述的可能是他/她最不担心的事情。

2. 身份验证是一个复杂的主题，如果您真的不想使用现有的库来为您处理这个问题，那么您将需要花费相当长的时间来解决问题（即使这样，风险 0 也不存在），最基本的永远不要在您的数据库上存储纯文本凭据并使用 https 通过加密连接传输它们。然后，您可以开始考虑 JWT，避免本地存储、CSRF 和保护 cookie、刷新令牌等。

3. 但是，对于您所描述的人们放弃访问其计算机或与他人共享密码的情况，您无能为力，除非提醒他们永远不要这样做。

附带说明一下，如果用户在向您的网站发出请求时没有打开网络监控工具，那么之后打开它不会显示之前提交的纯文本凭据（但是有解决方法）