无状态后端安全吗？

Question

我正在开发一个关于 angular 和 spring 的应用程序。而且我对无状态后端的安全性有点困惑。这是流程 -

1. 在请求标头中，我发送电子邮件并通过 base64 编码的服务器返回具有 jwt 令牌的 cookie

2. 因为它只是一个 http 和安全标志 cookie 客户端与它无关。在对服务器的每个请求上，它都会附加到请求标头。

3. 为了更深入地了解用户活动，我使用mouse-enter、mouseleave 函数将活动发布到数据库中。

4. 我通过发送客户端令牌来保护我的应用免受 csrf 攻击

我不太确定它是否足够安全，以及我是否真的需要存储任何令牌或 cookie 相关数据以确保安全。

Answer 1

人们似乎对保护无状态后端持怀疑态度。比如官方Spring Angular guide引用：

使用会话进行身份验证和 CSRF 保护绝对是一件好事

Spring Security 的项目负责人 Rob Winch 的这次演讲也是值得一看的：The State of Securing RESTful APIs with Spring

事实上，通过查看这些，我得出结论，我的 API 保持有状态，而不是不必要地重新发明敏感的安全轮。