- React使AJAX调用REST API
可以放心,有很多可使用的宁静资源客户端库
- React从REST获取JWT令牌
放心,这是智威汤逊应该做的
- React写httponly cookie
我不这样认为,它不应该起作用,但是会话并不是那么重要,它将很快过时,并重新检查关键操作的密码,即使黑客在很短的时间内就获得了密码,您也可以用户登录时将会话令牌与IP绑定在一起,并在您的后端api中进行检查。如果您希望最安全,则只需将令牌保存在内存中,然后在打开新页面或刷新页面时重新登录
- 由于react无法读取httponly cookie,因此我们在需要身份验证的所有REST调用中按原样使用它
请放心,通过登录令牌(例如csrf)检查用户和权限,您可以将登录令牌放入请求标头中,然后在后端api中进行检查。将登录令牌绑定到您自己的Restful
lib将为您节省很多代码
- 调用时的REST检查XMLHttpRequest标头,CSRF保护的某种形式REST端检查cookie,从中读取JWT并进行处理
像大多数人一样放心。另外,将csrf令牌绑定到您自己的Rest库将为您节省很多代码
在标题https://www.npmjs.com/package/express-jwt-
token中使用用户令牌
AuthorizationJWT < jwt token >
在标题https://github.com/expressjs/csurf中使用csrf令牌
req.headers['csrf-token'] - the CSRF-Token HTTP request header.
宁静的客户端https://github.com/cujojs/rest
与jwt反应https://github.com/joshgeller/react-redux-jwt-auth-
example