節點JS | 英雄聯盟 | MongoDB 地圖集 | 如何確保只有我的應用程序可以訪問我的后端？

Question

我使用 MongoDB Atlas、Express 和 Node JS 構建了我的后端，並將其部署到 Heroku。 使用 Postman，該應用程序目前運行正常（用戶正在添加並且我正在正確接收 json 網絡令牌）。

但我認為這可能不正確，因為似乎任何有權訪問我的 Heroku URL 和路由的人都可以輕松創建新用戶，接收 json 網絡令牌，並基本上使用我的后端操作他們的整個應用程序。

我的問題是：

1. 我是否遺漏了一些關於我如何構建后端的重要信息？
2. 我如何着手保護我的后端，以便只有我的應用程序可以訪問后端？

Answer 1

您可以使用Passportjs來保護您的路線，護照將成為訪問后端的人和您的實際后端之間的中間人。

如果傳遞了有效的 JWT（ JWT 策略），您可以授予對路由的訪問權限，否則它將拋出 401（未授權）。

有 400 多種策略可用，我會推薦 JWT 一種，因為您已經在生成 JWT。

保護后台是不可或缺的一部分，因為大多數腳本可以禁用前端的安全性，使應用程序容易受到攻擊。