API 令牌在 Flux (Redux) 存储中是否安全？

Question

将身份验证调用返回的 API 令牌存储在 Flux（特别是 Redux）存储中是否安全？我已经使用 Webpack 编译了项目中的所有资产，我认为这意味着商店的范围超出了希望读取商店并提取令牌的第三方脚本的范围。

而且，值得一提的是，令牌是通过 HTTPS 在 Authorization: bearer ... 标头中发送的。

Answer 1

如果页面上正在运行不受信任的第 3 方脚本，那么您应该假设没有什么是安全的，因为页面的整个完整性都会受到损害。

如果只有受信任的脚本在运行，那么您可以假设您的令牌是安全的，这取决于浏览器的安全性以及您的网站对 XSS 攻击的安全性。

编辑：

为了澄清，这是来自 3rd 方脚本的安全性。如果您试图向用户自己隐藏您的令牌，那么答案是它总是不安全的，无论您如何混淆您的代码，因为如果用户的机器可以访问它，那么最终用户可以访问它（你可以让它变得更困难，但并非不可能）。