保护 Express API

Question

我正在编写一个前端和后端分开的网络应用程序。前端是用 React 编写的，后端是一个运行 Express 端点的 node.js 服务器。如何确保只有我的前端可以访问 API，其他任何人都不能访问？我的 API URL 暴露在我的前端客户端代码中，所以任何人都可以看到。

我向我的 API 添加了 JWT 身份验证，但我仍然需要一个不受保护的 /login 端点才能生成 JWT 令牌，并且为了登录以生成令牌，我必须从我的前端，其他用户可以看到，因为它是从客户端完成的。

保护托管在这样的单独后端上的 API 的正确方法是什么，以便只有我的前端可以访问它，而没有人可以看到正在使用哪些凭据来访问端点？

Answer 1

你不能。您的 API 在互联网上。任何人都可以访问它。在允许访问 API 之前，您可以要求该帐户的帐户和登录凭据，但是一旦有人拥有帐户和凭据，他们就可以从自己的脚本而不是通过您的网页访问 API。这就是网络的工作方式。您对此无能为力。并且无法隐藏客户端正在使用的凭据。客户端上的所有数据都可以被客户端上的黑客查看。这就是网络的方式。

较大的公司通常会监控其 API 使用情况以寻找不当使用。这包括速率限制、检测非普通人类用户典型的行为和序列。当他们检测到不当使用时，他们通常会暂时或永久禁用该操作或禁止违规帐户。这也是为什么某些页面使用技术来检测是否是真实的人单独导致了诸如 reCaptcha 之类的操作。例如，在堆栈溢出时，在编辑 cmets 或帖子时，我经常遇到速率限制，它告诉我必须稍等片刻才能接受我的编辑。

没有绝对安全的方法可以在客户端中存储凭据。最常见的凭证方案是要求用户名和密码（通过 https 安全），然后当服务器上接受它作为合法凭证时，会向客户端发出某种令牌，可用于未来的 API 调用。该令牌可能位于 cookie 中，也可能需要手动包含在每个后续 API 调用中（从浏览器使用 API 时 cookie 的优势在于 cookie 会随每个后续请求自动发送）。

如果令牌是 cookie，则 cookie 存储在浏览器的 cookie 存储中，并且可以为其设置过期时间。浏览器的 cookie 存储受到保护，不会被其他站点的网页访问，但可以被本地计算机上的某人访问（它存储在文件系统中）。

如果令牌不是 cookie，只是作为令牌返回，并且客户端希望存储它，那么 Javascript 还提供了一些其他位置来存储它。本地存储具有与 cookie 存储类似的安全性。它受到保护，不会被其他网站访问，但可以由本地计算机上的人访问。