身份验证令牌和授权如何在 reactjs 中工作？

Question

我是 reactjs 的新手，我一直在尝试了解身份验证令牌如何保护路由。在各种教程中，人们在登录用户时从 api 获取该令牌，然后将其与设置为 true 的“isAuthenticated”变量一起存储在 localStorage 中。然后在路由时他们检查 isAuthenticated 是否为真，没有任何 api 调用来验证令牌。那安全吗？我试图以相同的方式实现授权，只需添加一些 isAuthorized 变量，但是由于 react 可以在客户端工作，因此这两个变量都不能被篡改吗？

Answer 1

他们当然可以。客户端上的任何内容都完全由用户控制。没有“客户端授权”。此类功能（对客户端上某些功能的访问控制）通常是一种用户体验功能，例如为什么向用户显示一些无论如何都不起作用的东西。

所有授权都必须在服务器端完成。

这本质上意味着通常可以在客户端中拥有没有数据的页面结构（视图）供任何人查看，关键是来自后端的数据将被授权并且仅对适当的用户可用。