SPA, Web API 무기명 토큰 보안 문제

Question

무기명 : 무기를 가지고 있거나 보유하고있는 사람 또는 물건을 의미합니다.

각도 앱으로 한 번 로그인하는 것을 의미하며, 동일한 토큰을 사용하여 우편 배달부 또는 피들 또는 다른 웹 사이트에서 사용할 수 있습니다.

Angular 4에서는 토큰을 cookie/localstorage/sessionstorage에 저장할 수 있지만 쉽게 액세스하고 사용할 수 있습니다.

따라서 토큰을 작성한 곳에서만 토큰을 사용하도록 토큰 및 웹 API를 보호하는 방법.

Answer 1

토큰이 쿠키에만있는 경우 쿠키에 httponly를 넣어보십시오. 또한 쿠키에 samesite = strict 또는 유사한 속성을 설정해보십시오. 그렇게하면 귀하의 웹 사이트에서만 사용할 수 있습니다.

참고 : SameSite는 현재 최신 웹킷 또는 깜박임 기반 브라우저에서만 지원됩니다.