AngularJS安全存储介质

Question

我正在使用AngularJS开发客户端应用程序。 我需要一次从服务器端请求一些与授权相关的数据，并将其存储以用于访问控制决策。 我不想在每个决定之前都要求数据。

我尝试使用浏览器本地存储，但是发现可以在浏览器中对其进行编辑，这对我来说是不可接受的。 我还考虑过对授权数据进行加密，但是只要加密是在​​客户端进行的，就可以进行反向工程。

是否有可以保存授权数据以适合我的情况的安全（只读）存储？

Answer 1

您正在将数据发送到您无法控制的环境中的客户端。 您最多只能做的就是让他们对其进行修改不方便。

使其无法修改？ 你不能这样做。 （抽象地考虑问题：您要尝试执行的操作是禁止用户在自己的设备上执行某些操作。）

这就是为什么所有与安全性相关的功能都需要保留在后端（控件中的环境），或者至少包含后端组件的原因。

在您的特定情况下，可以考虑将客户端的查看权限作为一种可用性功能：您不想将用户定向到他们不应该看到的页面，但是后端的责任是仅提供他们所要访问的数据实际上被允许访问。 因此，如果您有一个恶意用户进入“他不应该去的地方”，则由后端来决定是否不向他们发送他不应该看到的数据。