SPA 和后端的最佳身份验证方法 API [关闭]

Question

关闭。 这个问题需要更加集中。 它目前不接受答案。

---

想改进这个问题？ 更新问题，使其仅通过编辑此帖子专注于一个问题。

4 小时前关闭。

此帖已于2 小时前编辑并提交审核。

改进这个问题

对于内部应用程序，我们目前正在深入讨论更好地保护 API 的策略。

现在的情况：

• SPA 服务于：（Angular）在 domainA.com
• REST API 服务于：（django REST 框架）在域B.Z4D236D9A50D102C5ZEC04BAD1
• API 身份验证：身份验证 SWT 令牌保存在 Session 存储中

这种情况下的安全威胁：

• XSS 可以窃取 AuthToken
• CSRF 实施不令人满意

我们查阅了几个博客和网站，其中指出了使用 SessionCookie（包括 HttpOnly 和正确的 CORS 标头）实现 SessionAuthentication 作为 TokenAuth 的替代方案。

所以我的问题：

1. 基于 SessionCookie 的 Auth 有什么缺点。 （除了 BackendServer 需要跟踪 SessionState，在实现微服务设计和服务器到服务器身份验证困难时处于不利地位）

谢谢你的帮助！