React.js SPA安全问题

Question

我将讨论如何使用Node.js中的服务器端呈现来保护React中的SPA应用程序，但是在不同的服务器上访问我们的API，这样它就不会受到各种跨站点攻击和其他安全问题。

我们在API服务器上发布了JWT令牌，但这意味着将令牌存储在cookie中以便能够在页面重新加载后将其发送到API服务器，这不是我认为最好的主意。你有更好的解决方案吗？

由于

Answer 1

我的建议是建立一个网关来完成令牌和身份验证的所有验证。为此你需要什么。

1）redis用于存储您的令牌和会话数据。

2）将您的令牌存储在redis中，不要将其提供给浏览器。

3）从redis访问令牌你应该生成一些特殊的    saltedhash，你可以存储到客户端cookie。（使cookie安全和    HTTP仅用于跨域攻击）

4）在请求进入api服务器之前，使用此cookie检索令牌并在网关上进行验证。