处理ember.js中的安全性

Question

我想开始使用客户端的ember.js和服务器端的node.js构建一些认真的应用程序.我知道在客户端处理安全性是一件坏事(这是连接用户的角色？他是管理员还是普通用户？),所以我想维护服务器端的安全逻辑,但我想知道如何使用像ember/knockout这样的框架正确处理它...有服务器来创建将在每次后续调用时传递的令牌还是有另一种方式？

Answer 1

通常,您将拥有用户登录的URL(REST或"经典"网页),并且在响应中服务器将发回cookie.

从开启,浏览器将始终将该cookie发送回原始域.

您的服务器将有一些中间件来检查此cookie在每个请求上是否有效,并允许请求通过或拒绝HTTP 401代码的请求.

您的客户端javascript代码必须处理此401响应错误,并在此处理程序中,您将显示/重定向到相应的ui以记录用户(返回).

所有这些意味着您不必传递特殊标记,您的cookie是令牌,并在请求和响应HTTP标头中传递.