隐藏在Chrome Developer Tool中显示的HTTP GET / POST请求

Question

我有一个在Angular JS和Webapi中开发的应用程序。我使用OWIN Framework使用了基于令牌的身份验证。该应用程序部署在一家软件公司，很少有开发人员熟悉此技术堆栈，使用Chrome开发人员工具并直接访问api方法并绕过客户端的验证。有没有办法控制这个？

请找到显示Bearer令牌，Webapi方法和放大器的Chrome开发者工具的屏幕截图。它的有效载荷。

Answer 1

您无法隐藏在浏览器上显示的HTTP请求。您可以做的是控制谁获取该访问令牌，其到期时间以及他拥有的权限和声明。

您无法从运行该浏览器的用户隐藏浏览器的活动。

只有在使用正确的凭据成功登录后才能生成令牌，并且显示在开发者工具上的令牌可用于从邮递员等工具调用API直到它到期（因此，设定较短的到期时间。）

使用用户A的凭证生成的令牌A不应具有操纵用户B的数据的权限，这应该明确处理。

因此，唯一的选择是用户A可以窃取他自己的访问令牌并使用它来操纵他自己的数据，除非令牌是活着的。