AngularJS安全存儲介質

Question

我正在使用AngularJS開發客戶端應用程序。 我需要一次從服務器端請求一些與授權相關的數據，並將其存儲以用於訪問控制決策。 我不想在每個決定之前都要求數據。

我嘗試使用瀏覽器本地存儲，但是發現可以在瀏覽器中對其進行編輯，這對我來說是不可接受的。 我還考慮過對授權數據進行加密，但是只要加密是在​​客戶端進行的，就可以進行反向工程。

是否有可以保存授權數據以適合我的情況的安全（只讀）存儲？

Answer 1

您正在將數據發送到您無法控制的環境中的客戶端。 您最多只能做的就是讓他們對其進行修改不方便。

使其無法修改？ 你不能這樣做。 （抽象地考慮問題：您要嘗試執行的操作是禁止用戶在自己的設備上執行某些操作。）

這就是為什么所有與安全性相關的功能都需要保留在后端（控件中的環境），或者至少包含后端組件的原因。

在您的特定情況下，可以考慮將客戶端的查看權限作為一種可用性功能：您不想將用戶定向到他們不應該看到的頁面，但是后端的責任是僅提供他們所要訪問的數據實際上被允許訪問。 因此，如果您有一個惡意用戶進入“他不應該去的地方”，則由后端來決定是否不向他們發送他不應該看到的數據。