我應該在JavaScript應用程序中存儲客戶機密碼

我應該在JavaScript應用程序中將客戶機密鑰存儲到以防止其他用戶訪問它？我特別的用例是AngularJS SPA。我應該在JavaScript應用程序中存儲客戶機密碼

客戶機密鑰是在登錄時生成並傳回客戶機的guid，在15分鐘不活動後過期。

考慮到我的密鑰的性質，我應該關心它嗎？

2013-06-27 ton.yeung

總是可以使用'localStorage' – tymeJV

你是什麼意思「其他用戶」？你究竟想要防範什麼？ –

您通過HTTPS發送它，並確保您沒有任何XSS漏洞。 – Paulpro

2件事：

一：你不能。在他們這邊，任何有權訪問的人（在該用戶登錄時訪問計算機）和知識將能夠看到它。以及攔截從客戶端到服務器的傳輸的任何人（如果您不使用https）。

二：如果您正確實施它，則沒有必要。

*通過一次，我的意思是一個GUID應該是全球唯一的。您是否每次都爲每個用戶使用相同的GUID，或者您是否在使用相同的GUID，並在下次爲其分配新的GUID？如果第一個你有問題。

如果你做所有這些事情，那麼你真的不需要擔心它。

2013-06-27 17:07:16 Ryan

我很難將你的第二件事情轉化爲具體的行動。技術約束意味着客戶機祕密將像會話令牌一樣行動，其中到期會隨着活動而延長。如果您知道如何將客戶機密實施爲一次性服務，那將不勝感激。我正在做第二點。我不明白第三點如何相關。 –

@ ton.yeung編輯，抱歉，關於第三點我誤解您的原始文章中的東西。 – Ryan

每次用戶登錄時，我都會生成一個guid。每當經過身份驗證的用戶點擊api時，我都會檢查該令牌，如果存在，我會延長超時時間。超時後，令牌被刪除，用戶必須重新進行身份驗證，才能獲得新的GUID。一切都落後於ssl。我應該很好？ –

回答