不确定标题是否很好地概括了我的问题。
基本上，我正在尝试验证路由，例如检查用户是否存在等。我只想允许 来自我的前端应用程序的请求得到批准，但是，由于没有用户登录，因此没有要发送的令牌。
API 请求 -
mywebiste/checkUser/email
此路由在我的后端不受保护，因为没有用户登录。 但我想保护这条路线，使其只能从前端访问。
我想出的一些想法是从前端添加特定的标头标签并在后端检查它们，但这可以很容易地复制，是否有更安全的东西，比如使用令牌等。
我正在使用 React 和 Node.js
【问题讨论】：
标签： javascript authentication jwt token
我最终创建了一种可行的解决方案，所以基本上，我在前端创建了一个新的 base64 字符串，并在向后端发出请求时将其附加到标头。 base64 字符串每分钟都不一样，所以即使复制了标头，它也每分钟都不同，并与您的密钥组合在一起。
我已经制作了一个包，以便人们可以根据需要使用它 - https://github.com/dhiraj1site/ncrypter
你可以这样使用它
var ncrypter = require('ncrypter');
//use encode on your frontend with number of seconds and secret key
var encodedString = ncrypter.encrypt(2, 'mysecret1')
//use decode on your backend with same seconds and secret
var decodedString = ncrypter.decrypt(encodedString, 2, 'mysecret1');
console.log('permission granted -->', decodedString);
【讨论】：
您可以验证请求是否由用户发起（通过对其进行身份验证），但由于以下两个原因，您无法验证请求是否来自特定客户端：
您唯一能做的就是阻止其他网页代表用户调用您的后端，方法是使用CORS（如果您不指定Access-Control-Allow-Origin 标头，默认情况下它实际上是活动的）
【讨论】：
Same origin policy 将为您提供一些基本保护，但基本上如果 API 端点公开公开，它就会公开公开。如果您不希望该路线可公开访问，则需要添加访问控制。
如果您使用该路由来检查用户是否已注册，例如，您可以将其与用户注册路由合并，并在用户已经存在时发送不同的错误代码（这不是一个好主意，因为它泄露在您的系统上注册了哪些电子邮件）。
【讨论】：