SPA，Web API持票人令牌安全問題

Question

持票人：指攜帶或持有某物的人或物。

這意味着通過角度應用程序登錄一次，並且可以使用相同的令牌從郵遞員或小提琴或任何其他網站的任何地方使用。

在Angular 4中，我們可以將標記存儲在cookie/localstorage/sessionstorage中，但可以輕鬆訪問和使用它。

那麼如何保護我們的令牌和Web API只使用來自其創建位置的令牌。

Answer 1

如果令牌只在cookie中，請嘗試將cookie放在httponly上。還可以嘗試在cookie上設置samesite =嚴格或類似的屬性。這樣它只會被你的網站使用。

注意：SameSite目前僅支持最新的基於webkit或blink的瀏覽器。