如何使用access_token對angularJS應用中的圖像請求進行身份驗證

Question

我有一個angularJS應用程序，其身份驗證系統由access_token並與用Go語言編寫的后端服務器通信

因此，要驗證用戶身份，我必須將access_token添加到每個請求?access_token=SomeTokenHere或通過標頭Access-Token: SomeTokenHere

效果很好。

問題是我的后端提供受保護的圖像，出於某些安全原因，我無法將訪問令牌放在圖像src中（如果用戶將鏈接復制/粘貼到其他人，則也會提供access_token ...）

我想做的是注入包含我的訪問令牌的標頭，但是由於請求是從瀏覽器發出的，因此不可能。

使用cookie可能有可能，但是我要避免使用cookie，尤其是因為angularApp和后端不在同一個子域中。

另一個想法是創建一個指令，該指令將獲取原始數據，並將數據設置為圖像。 首先，我不知道這是否可行，這對於網頁中的數百張圖像來說是個好主意嗎？

如果您有任何想法，很高興收到您的來信！

謝謝

Answer 1

這是一個典型的問題，幸運的是它已經解決了-例如在Amazon S3上。

解決方案的想法很簡單：與其直接使用秘密密鑰，不如直接使用秘密密鑰，您可以使用該密鑰通過訪問策略生成簽名。

為此，專門設計了一種很好的算法來生成簽名-HMAC

您可以在服務器上擁有一個秘密密鑰，並使用它對每個圖像URL進行簽名，然后再將其發送給客戶端，還可以添加一些其他策略，例如url過期時間...