Bảo mật khóa API trong Angular2

Question

Tôi đã googling hơn một ngày nay. Có thể tôi đang thiếu từ khóa chính xác.

tôi có các thiết lập sau:

• ExpressJS API (chạy với PM2 trên cổng 3000)
• Angular2 ứng dụng - phục vụ qua nginx

Cả hai chạy trên cùng một máy chủ.

Các cuộc gọi đến các api (mydomain/api /) đều được proxy để 127.0.0.1:3000

Đối với cuộc gọi api mà cần xin phép, tôi sẽ sử dụng JWT và xác thực người dùng.

Điều tôi muốn đạt được là tôi tạo mã thông báo cho ứng dụng angular2 được phép/yêu cầu thực hiện cuộc gọi công khai (danh sách sản phẩm chẳng hạn).

Mã thông báo này cần phải được chuyển an toàn tất nhiên vì tôi không muốn người khác nhận được sản phẩm và giá của tôi qua cuộc gọi api trực tiếp (có mã thông báo bị đánh cắp).

Bất kỳ trợ giúp nào được đánh giá cao.

Answer 1

Mã thông báo của bạn hy vọng sẽ di chuyển bằng https. Và khi nó họ không thể có được nó ...

CẬP NHẬT

từ wiki:

Vì HTTPS piggybacks HTTP hoàn toàn trên đầu trang của TLS, toàn bộ giao thức HTTP cơ bản có thể được mã hóa . Điều này bao gồm các URL yêu cầu (trong đó đặc biệt là trang web được yêu cầu), truy vấn thông số, tiêu đề,

https://en.wikipedia.org/wiki/HTTPS

Answer 2

Thứ nhất, như @eesdil nói, bạn phải sử dụng HTTPS. Trong trường hợp đó, tất cả các cuộc gọi của bạn được mã hóa và an toàn.

Trong ví dụ của tôi (Angular 2, Express và JWT), tôi đã sử dụng mô-đun mật mã với thuật toán pbkdf2 cho mật khẩu băm.

Đây là quy trình làm việc:

• /đăng nhập/đăng ký -> Mật mã băm và tạo ra muối -> cửa hàng nó trên máy chủ
• /login -> xác nhận mật khẩu chống lại được lưu trữ một -> tạo JWT -> tiết kiệm nó trong localStorage trên client
• /api -> gửi JWT trong Auth tiêu đề -> xác nhận trên máy chủ -> gửi trả lời

dụ làm việc là ở đây: https://github.com/vladotesanovic/angular2-express-starter