[TrebuniTutek]

#programowanie #nodejs #javascript #angularjs #kiciochpyta

Taka sytuacja: aplikacja składająca się z rest api i frontu w angularze, który woła sobie jakieś get'y. Chciałbym zabezpieczyć takie połączenie, żeby z api mógł połączyć się tylko front. Podobno nie ma głupich pytań, więc: czy zabezpieczenie (np. tokenami) musi opierać się na podaniu loginu i hasła, żeby ten token otrzymać? Czy możliwe jest automatyczne przekazywanie tokenu do angulara?

[larvaexotech]

@TrebuniTutek: możesz oprzeć to na sesjach.

[Afrael]

@TrebuniTutek: i w jaki sposób wtedy będzie Ci to zabezpieczać aplikację, skoro każdy kto wejdzie na stronę otrzyma token? :-)

[TrebuniTutek]

@Afrael: Chodzi o to, że api wystawia pliki i żeby nie można było ich pobrać jak się wywoła jakiegoś geta. Tylko front może to robić. To nie ma w ogóle sensy? :)

[Afrael]

@TrebuniTutek: a jak będziesz sprawdzał, czy to front pyta o token (serwer musi go wygenerować i wysłać przy pierwszym zapytaniu, bądź przy zapytaniu o token)?

[incognito_man]

@TrebuniTutek jwt

[o.....l]

Poczytaj sobie o JWToken. Auth0 itp.

[TrebuniTutek]

@Afrael: A jeśli np. w angularze byłby zahardkodowany token, który będzie stały?

[Afrael]

@TrebuniTutek: to teraz pomyśl, że osoba, która korzysta z frontu, patrzy sobie do zakładki Network w Developer Toolsach i widzi, że przy każdym requeście leci też token, który się nie zmienia. Wystarczy, że sobie skopiuje ten token i nie musi wcale z frontu korzystać. Oczywiście wytnie to osoby, które na webie się nie znają, i pewnie tych, którzy nie chcą kombinować, tylko zrobić to, co im front oferuje, ale przed