AngularJS訪問令牌安全問題

Question

從授權服務器中檢索訪問令牌後，在AngularJS中存儲訪問令牌的最佳做法是什麼？我看到很多使用localStorage服務的建議，但後來我讀過其他一些說不使用localStorage來存儲令牌的帖子/博客，這是不安全的。

我很難把頭繞過由於像上面這樣的混合信息，Angular的安全性。

Answer 1

我認爲，

1. 生成令牌（在服務器端敏感信息）
2. 簽名和加密與只被服務器計算機密鑰生成令牌。並獲得加密的令牌。
3. 然後將在步驟2獲得的加密令牌保存在cookie中。
4. Cookies過期應該非常少。使httponly cookie。

當驗證cookie的

1. 驗證cookie的
2. 解密用計算機密鑰並驗證它僅由我們的服務器，並使用相同的CRC發送。
3. 如果上面的step2是好的，則驗證獲得的令牌。

Angularjs自動在每個$ HTTP請求添加頁眉，

AngularAppFactory.GetApp=function(appName){ 
    var app = angular.module(appName, []); 

    app.factory('httpRequestInterceptor', ['$rootScope', function($rootScope) 
    { 
     return { 
      request: function($config) { 
      if($rootScope.user.authToken) 
      { 
       $config.headers['id'] = $rootScope.user.id; 
       $config.headers['auth-token'] = $rootScope.user.authToken; 
      } 

      return $config; 
     } 
    }; 
    }]); 

    app.config(function ($httpProvider) { 
     $httpProvider.interceptors.push('httpRequestInterceptor'); 
    }); 

    return app; 
} 



//Whenever you need to get new angular app, you can call this function. 
app = AngularAppFactory.GetApp('appName');