Web api身份验证后将令牌存储在浏览器本地存储中是否安全

Question

我正在使用 Asp.net Web API 2 为后端构建 angular js 1.X 应用程序。在 Web API 2 中，我可以通过在令牌端点 (ApplicationOAuthProvider) 上发布我的凭据来轻松获取令牌。
现在，由于 Angular JS 是客户端，所以我需要在客户端放置一个位置来保存此令牌，以便我可以在所有后续 HTTP 调用中发送此令牌以验证客户端。
为此，我已将我的令牌存储在浏览器的本地存储中。但我并不认为在此处存储令牌是否安全（客户端）。
因为任何有权访问我的系统的人都可以轻松获得令牌并在他的机器上使用它来登录系统。
如果有人有建议，请指导我。谢谢

Answer 1

这是 Web 应用程序中身份验证的基本挑战之一。简短的回答是，“已经足够好了。”

更长的答案是您应该验证：

1. 令牌足够长以防止暴力破解
2. 令牌足够随机以防止猜测
3. 通信始终通过 TLS 以防止拦截/嗅探

要获得全面的最佳实践，您应该花一些时间访问OWASP 网站。