使用 Cookie 和令牌处理器保护单页应用程序
💡
原文英文，约1000词，阅读约需4分钟。
📝
内容提要
单页应用程序（SPA）作为数字数据传递和客户参与的易于开发的界面，但安全性困难重重。SPA通过API连接到微服务，带来了轻量级的优势，但也带来了重大的安全风险。用户身份验证通常必须在浏览器中进行，而不是在受保护的服务器后面的网络防火墙中进行。此外，SPA与第三方数据的连接可能会带来安全性和编程繁琐的问题。随着环境的增长和业务需求的变化，可能会引入隐藏的安全风险。
🎯
关键要点
- 单页应用程序（SPA）作为数字数据传递和客户参与的易于开发的界面，正迅速获得更强的市场地位。
- SPA通过API连接到微服务，虽然带来了轻量级的优势，但也带来了重大的安全风险。
- 用户身份验证通常在浏览器中进行，而不是在受保护的服务器后进行，增加了安全隐患。
- SPA依赖大量第三方数据，可能导致安全性和编程复杂性的问题。
- 传统网站安全措施不适用于单页应用程序，因为SPA没有专用的后端。
- SPA的安全挑战包括浏览器基础的身份验证容易受到多种网络攻击的威胁，如跨站脚本（XSS）攻击。
- 修复一种漏洞可能会引入新的漏洞，使得保护SPA的工作变得复杂。
- 最近开发的令牌处理模式结合了网站cookie安全性和访问令牌，以保护用户身份验证。
- 通过实现后端为前端（BFF）配置，组织可以在不牺牲安全性的情况下享受SPA的轻量级优势。
- 令牌处理模式解决了多个SPA漏洞，使组织能够自信地使用SPA而不引入新的安全漏洞。
➡️
