前后端联调、浏览器与 API 安全边界
RESTful API、JWT 与权限认证#Python全栈#第十三阶段#RESTful API、JWT 与权限认证#前后端联调、浏览器与 API 安全边界约 736 字 · 2 分钟阅读
追问显示点击任意追问卡片可收起 / 展开
前端请求带 Bearer 令牌时，怎样处理 401 与刷新？
追问 多个请求同时过期时如何避免刷新风暴？刷新失败后哪些页面状态和本地凭据需要清理？
使用 HttpOnly Cookie 携带令牌时，前后端需要协调哪些设置？
追问 SameSite、Secure、Domain、Path、凭据模式与 CSRF 保护如何共同影响跨域请求？
CORS 允许来源与认证授权是什么关系？
追问 允许前端读取响应是否等于允许用户访问资源？为什么不能用
* 搭配凭据来解决所有联调问题？API 文档中的 OAuth2 security scheme 应怎样维护？
追问 登录地址、scope、Bearer 方案和实际令牌验证是否一致？文档按钮能成功调用是否证明生产配置安全？
移动端、SPA 与服务端渲染应用的令牌保存策略有什么差别？
追问 XSS、CSRF、应用卸载、系统密钥库和多标签页各影响什么？如何用威胁模型而不是流行说法做选择？
为什么不能把 JWT 放到 URL 查询参数中？
追问 浏览器历史、Referer、代理、分析工具和服务器日志可能怎样泄露？迁移旧接口时如何兼容并逐步禁用？
文件下载、WebSocket 和 SSE 的认证方式如何考虑？
追问 浏览器原生 API 对自定义头的支持不同，Cookie、短期签名 URL 和握手参数分别有什么风险？
API 的 OPTIONS 预检是否需要认证？
追问 预检和实际业务请求的身份要求有什么不同？错误地要求 Bearer 可能造成什么跨域现象？
防重放、请求签名与 JWT 有什么区别？
追问 JWT 证明令牌持有和签发，时间戳/nonce 解决什么问题？高价值写操作是否需要额外绑定请求或一次性标识？
认证系统如何满足最小权限和默认拒绝？
追问 新路由未声明权限时默认应怎样处理？代码评审、自动检查和运行时审计如何减少漏加授权依赖？