ループバック - 要求アクセストークンを隠す

ループバックAPIを使用するとセキュリティ上問題が発生します。問題は、アクセストークンがクエリURL /ヘッダーを介してアクセス可能であることです。 Loopback APIを呼び出すときにアクセストークンを隠すことができますか、またはPOST機能付き本体にアクセストークンを置くことができる設定がありますか？ループバック - 要求アクセストークンを隠す

ありがとうございます。

出典

2017-03-13 Xnuxer

あなたは常にHTTPSを使用する必要があります。

URLからデータを非表示にしても、情報がヘッダー/クッキー内の平文で送信されるため、攻撃を防ぐことはできません。

HTTPSを有効にしてHTTPクエリをHTTPSにリダイレクトすると、サーバーとクライアントだけが値を見ることができます。これは予想される動作です。

これにより、ログインデータが平文で送信されることも防止されますが、これは常に悪い考えです。

You can check this document on deploymentまたはtry this example project for enabling SSL。

出典

2017-03-21 16:07:12 Acapulco

はい、動作します。感謝アカプルコ。 – Xnuxer

URLから* access_token *を隠すことは、実際にはHTTPsを使用しても良い考えです。間違ってURLをブックマークしたり、履歴をブラウズしたり、リンクを共有しようとしても、これを悪用する方法はたくさんあります。 – adelriosantiago

アクセストークンをGETパラメータとして送信する代わりに、Authorizationというヘッダーとして送信してください。

ヘッダー：あなたのAPIで認証を行っている場合Authorization: $ACCESS_TOKEN

もっとに関する情報here

出典

2017-03-13 12:08:18

こんにちはTobias、フィードバックをいただきありがとうございます。私は試してみますが、引き続きヘッダーにアクセストークンを公開しています。例： GET/API/AgentParties HTTP/1.1 ホスト：10.53.6.13:3000 認証：LQT09Vobp5ZYzutBdETooEU28ydOvG6QyEaycAhGGE6WZsLCQZZ8g2eCrEKw7J3t のCache-Control：キャッシュなしポストマン・トークン：3ec25658-7e8c-fcf5-26ef-1f69a2e3473c はありがとうございました。 – Xnuxer

@Xnuxerなぜ/どのロギングツールを使用しますか？ –

バンプスイートですが、httpを使用してhttps（SSL）に変換すると解決しました。ありがとう、トバイアス。 – Xnuxer

ループバック - 要求アクセストークンを隠す

答えて

関連する問題