通过 Angular 将用户数据存储在 localStorage 中是否安全？

Question

我是 Angular 世界的新手，我正在尝试构建我的第一个 Angular 应用程序，目前我不知道在 localStorage 中存储用户数据是否安全，如果不是，我应该怎么做才能保存它？我正在使用 cookie 会话。

这就是我的后端代码的工作方式（这里只有身份验证和授权部分）：

const express = require('express');
const session = require('cookie-session');
const crypt = require('bcryptjs');
const config = require('../config');
const router = express.Router();
const users = require('../models/users');
const app = express();

app.use(session({
    name: 'session',
    keys: config.keys,
    secret: config.sessionkey,
    cookie: {
        secure: false,
        httpOnly: true,
        path: 'cookie',
        expires: new Date(Date.now() + 60 * 60 * 1000 * 24 * 365)
    }
}));

router.get('/', (req,res)=>{
    if(isAuthenticated(req)){
        res.send(req.session.user);
    } else {
        res.send({"message":"Authenticate first."});
    }
});

router.post("/login", (req, res) => {
    const email = req.body.email;
    const userpass = req.body.userpass;
    users.findUserByEmail(email,function(user){
        if(crypt.compareSync(userpass,user[0].userpass)){
            req.session.user = user;
            res.send(user);
        }
    });
});

router.post("/logout", (req,res)=> {
    req.session = null;
    res.redirect("/");
});

router.post("/register", (req, res) => {
    var user = { "username": req.body.username, "userpass": crypt.hashSync(req.body.userpass, 10) , "email": req.body.email, "birthDate": req.body.birthDate };
    users.createUser(user,(err)=>{
        if(!err){
            res.send({ "message":"Login" });
        } else {
            res.send({ "message":"Something went wrong during registration please retry." });
        }
    });

});

router.post("/unregister", isAuthenticated, (req, res) => {
    var email = req.body.email;
    if(isAuthenticated(req)){
        users.findUserByEmail(email,function(user){
            if(req.session.user == user){
                if(crypt.compareSync(req.body.userpass,user[0].userpass)){
                    req.session = null;
                    users.deleteUserByEmail(email,function(err){
                        if(err){
                            res.send({ "message":"Something went wrong while deleting the user please retry." });
                        } else {
                            res.send({ "message":"User deleted successfully" });
                        }
                    });
                }
            }
        });
    } else {
        res.send({ "message":"Authenticat first." });
    }
});

function isAuthenticated(req){
    return req.session.user != null;
}

module.exports.app = app;
module.exports.Router = router;
module.exports.isAuthenticated = isAuthenticated;

正如您所看到的，当用户正确登录时，我只是将存储在数据库中的用户数据按原样发送给他（显然没有用户密码），那么我应该怎么做才能在 angular 端进行安全会话？

Answer 1

你应该使用JWT在服务器和客户端之间交换身份验证数据如果你是新的JWT想法，你可以在intro中读到一点，使用JWT你将有能力阅读它在客户端（Angular）中并将其保存到localStorage，并且不用担心它的安全性，因为它毕竟是一个哈希，即使有人可以读取它的内容，他/她也无法修改它，因为它只能由您在服务器中的安全密钥/签名生成。

当然，您必须将 jwt 令牌与每个请求一起发送到您的服务器，而在 Angular 中，使用 interceptors 很容易实现这种方法。

这是一个complete example，演示了 JWT 与 Angular 和 NodeJS 的使用。