节点Js刷新身份验证令牌

Question

您如何提供刷新节点js身份验证令牌的示例？ 我的意思是通过什么参数可以刷新身份验证令牌？ 例如，如果我可以通过登录名和密码来刷新它，那么我应该在单页应用程序中将此参数存储在哪里？ 据我了解，将其存储在Cookie中并不是安全的好主意，本地存储也不是很好，因为某些浏览器不支持它。 因此，也许有人知道另一种刷新令牌的方法？

Answer 1

如果使用正确，Cookie是一种非常安全的存储机制。 本地存储永远不应用于身份验证信息。 OWASP在存储安全性方面有出色的著述：

https://www.owasp.org/index.php/HTML5_Security_Cheat_Sheet#Storage_APIs

引用重要部分：

• 不要将会话标识符存储在本地存储中，因为JavaScript始终可以访问数据。 Cookies可以使用httpOnly标志减轻这种风险。

• [使用本地存储]无法像HTTP Cookies的属性路径那样将对象的可见性限制为特定的路径，每个对象都在源内共享，并受到相同源策略的保护。 避免在同一源上托管多个应用程序，所有应用程序都将共享相同的localStorage对象，而应使用不同的子域。

回到您的原始问题：刷新令牌存储在哪里？ 答：在HttpOnly cookie中。 这样可以防止Cookie受到XSS攻击的窃取，并且使服务器很容易发出新的访问令牌（使用刷新令牌），因为服务器将根据同一请求同时访问这两个令牌。

您可以添加另一层并加密存储在cookie中的整个刷新令牌。

注意：使用Cookie时，您还需要保护自己免受CSRF攻击

我在这两篇博文中详细介绍了前端安全性和JWT：

单页应用程序（SPA）的基于令牌的身份验证

https://stormpath.com/blog/build-secure-user-interfaces-using-jwts/

免责声明：我在Stormpath工作，我们的服务为您提供一个安全的，托管的，具有许多功能的用户数据库。 我们的express-stormpath模块使您可以轻松地开始为您的应用程序登录和注册流程。 我们正在编写一个新版本，它将按照我在此答案中描述的方式使用访问令牌。

Answer 2

我创建了包含以下字段的AuthToken模型：

user_id, access_token, refresh_token, access_token_expiration

用户成功登录后，服务器端将发送refresh_token和access_token到客户端，并将其存储到localstorage（旧浏览器的cookie）。

并且所有后续请求将与access_token一起发送（我在$ httpProvider中使用标题x-access-token的角度）。

当令牌到期时，客户端需要发送refresh_token来更新access_token ， refresh_token和expiration date 。 因为我使用套接字，所以我可以刷新access_token（如果它在任何请求中都已过期）（为此我也为每个请求发送z-refresh-token标头），所以我不应该发送任何额外的请求，并且可以保留当前的用户请求，只是更新后，会通过套接字事件返回令牌。

希望这可以帮助

Answer 3

我个人对Sails不太了解，但是如果您对作为Sails工具集的节点包感兴趣，请看看waterlock。 https://github.com/waterlock/waterlock

如果您不太在意，请查看json网络令牌（waterlock使用的令牌）。 这篇文章比较老，但是它为您提供了一个很好的使用方法。 http://www.intridea.com/blog/2013/11/7/json-web-token-the-useful-little-standard-you-haven-t-heard-about

希望这能为您指明方向。