Angular 客户端是否应该将用户角色存储在本地存储中？

Question

在我的 Angular 应用程序中，根据登录的用户，我想通过显示/隐藏不同的菜单项或允许/禁止某些路线来授予或限制功能。目前成功登录后，我的 .NET Core API 返回 JWT 令牌以及用户的角色并将其存储在本地存储中。然后我用它来显示我的菜单（例如）。我只是怀疑这是否是最佳实践，因为它暴露了我的用户角色，并且我不确定如果有人在本地存储中手动更改它会发生什么。

有没有更好/更安全的方法来实现这一目标？

如果您需要更多详细信息，请告诉我。谢谢

Answer 1

您无法手动更改 JWT 令牌，因为它是使用私钥（或秘密密钥）生成的。如果没有私钥，您将无法创建具有更新角色的新令牌。所以用户无法执行此操作。他当然可以解码令牌，但他无法编码有效的新令牌