無狀態後端是否安全？

Question

我正在開發角度和彈簧的應用程序。而且我對無狀態後端安全性有點困惑。這裏的流動 -

1. 在請求頭我發送電子郵件，並通過編碼服務器的base64返回它具有JWT令牌

2. 因爲它只是一個HTTP和安全標誌的Cookie客戶端無關餅乾用它。在對服務器的每個請求中，它都會附加到請求標頭。

3. 爲了更深入地瞭解用戶活動，我使用mouse-enter,mouseleave函數將活動發佈到db中。

4. 我保護我的應用程序對CSRF通過發送客戶端令牌

我不太清楚，如果它是足夠安全的，如果我真的需要存儲任何令牌或cookie的相關數據安全。

Answer 1

人們似乎對確保無狀態後端的懷疑態度。例如，官方Spring Angular guide報價：

這很絕對是一件好事，使用會話的認證和CSRF保護

此演示文稿由羅布絞盤，春季安全的項目負責人，是也是一塊寶石看：The State of Securing RESTful APIs with Spring

事實上，看着這些，我總結爲我的API保持有狀態，而不是不必要地重新發明敏感的安全輪。