在移动Web应用程序中存储身份验证令牌的最安全方法

Question

我目前正在开发一个移动Web应用程序，并完成了身份验证（服务器端），但我不确定如何存储从我的REST服务接收的身份验证令牌处理客户端之间的事务。

它提出了以下问题：

• 使用localstorage（HTML5）存储令牌是否安全？
• 应用程序关闭时是否应删除令牌（如果可能的话）？
• REST服务是否应该在每次登录时生成新令牌？

最佳做法是什么？我知道当应用程序本地化时还有其他选项。

Answer 1

由于无法阻止用户使用PC来请求令牌，因此这是第一个漏洞。请求本身也是如此。

所以漏洞链是

1. 请求
2. 存储到变量
3. localStorage的

如果您仍需要更多安全性，可以使用SCJS库对其进行加密，然后再将其发送到localStorage（这是一个打开的可用文件夹中的人类可读文件）。

在不同的应用内部，因为localStorage仅在应用会话期间可用。