我在 Express.js 中有一个 API，它将创建博客文章并将它们添加到我的数据库中。当我从 DevTools 中的 React 应用程序发出请求时，它会显示我的 JWT。我担心当我的网站上线时，人们会看到我的令牌并从他们的网站发出请求以添加不需要的帖子。请告诉我发生了什么以及如何防止出现安全错误。
【问题讨论】：
标签： security express google-chrome-devtools jwt
可以在 Chrome 开发工具上看到 JWT，因为您在 API 上创建新博客文章时将其作为授权标头发送，并且您是直接从 React 应用程序发出此请求。
如果 JWT 是敏感的，它不应该在前端可用，你必须有一个充当代理的服务器，它应该接收来自 React 应用程序的请求，然后将带有 JWT 作为授权标头的请求转发到你的 API。
这样做可以避免泄露 JWT，但仍然有可能有人向您的代理发出请求，这些请求将被转发到您的 API。
如果您希望只有您的 react 应用程序能够向您的代理执行请求，您可以创建一个中间件来验证传入请求的 IP 地址（更多详细信息 here），如果它与您的 React 应用程序地址匹配那么你接受请求，否则，你返回一个未经授权的错误。
如果您希望只有特定的人能够创建博客文章，那么您应该在 react 应用程序上进行身份验证。
【讨论】：
当您在标头中发送带有令牌的请求时，它在开发者工具的标头窗格中将如下所示：
我想这就是你想知道的是否安全。
当您使用普通 HTTP 时，React 应用程序和 API 之间的连接是未加密的。这使得replay attack 成为可能——前端和 API 之间的 ISP 或其他服务器可以读取令牌，并在稍后使用读取的令牌伪装成您。
最重要的解决方案是使用 HTTPS，它是加密的 HTTP。当您使用 HTTPS 时，潜在的攻击者无法嗅探和窃取令牌。在处理用户名、密码等时，应始终使用 HTTPS。
【讨论】：