将敏感信息传递给 iframe 的安全方式

Question

我必须以安全的方式将身份验证令牌从我的网站传递到我的 iframe。我的 iframe 与我的网站位于同一个域中。

将身份验证令牌作为参数传递给 iframe 的src属性是否安全？我的意思是：

<iframe src={"/purse/index.html?auth_token=" + token} />

---

更新：安全我的意思是除了当前（已登录）用户之外没有人有机会访问令牌。

PS在你的回答中，请描述我的方法auth_token可能被盗的方式

Answer 1

从技术上讲，auth_token 不提供安全性，它提供身份。安全性将由您的加密和身份验证系统提供，通常是带有某种形式登录的 SSL。auth_token 通常在身份验证后设置，并通过 SSL 加密连接传回用户。根据提供的代码片段中的“src”，它似乎位于同一应用程序空间 - 没有主机信息表明不同的主机。如果仍使用 SSL 来加密连接，则不必担心其他人“看到”用户 auth_token。