NODE護照HTTP請求

將用戶數據保存到req.user和req.passport中是否安全？瀏覽器是否易於訪問和閱讀第三方？NODE護照HTTP請求

我正在使用req.user通過ID檢查貓鼬條目是否屬於來自req.user的用戶。我擔心的是，如果可以從瀏覽器訪問req.user和req.passport，那麼很容易操縱POST請求並跳過我的驗證。

問候， AA

2016-12-17 Tomek

假設你使用的護照快遞，然後護照根本不提供任何用戶信息到瀏覽器。

這種方式通常會起作用的是，當客戶端首次聯繫您的服務器時，唯一的加密會話ID將被放入cookie中，這是所有瀏覽器都能看到的。 sessionID是服務器端存儲的關鍵，它提供對用戶會話信息的服務器端訪問。除非服務器通過將其中的某些數據放入網頁或公開端點來查詢，否則這些信息在瀏覽器端都不可用。

2016-12-17 17:33:34 jfriend00

謝謝你的回答。據我所知，只有會話ID在瀏覽器中可見並存儲在cookie中。因此，即使我在req.passport和req.user中看到用戶ID和用戶名，這意味着它只存儲在服務器端？ – Tomek

@Tomek - 是的，這是正確的。 – jfriend00

在向我的網站發佈請求之前，任何人都可以更改req.passport和req.user數據嗎？例如更改用戶ID？ – Tomek

回答