フロントエンドや他のサーバーに公開されているAPIのセキュリティを確保するにはどうすればよいですか？

Question

私はウェブサイトを構築しています。このサイトのフロントエンドページは、AJAX経由で/からサーバーにデータを取得/送信する必要があり、サーバーは同じAPIを他のアプリケーション（非プライベートアプリ、パブリックではなく、同じ第1クラスドメイン）に提供します。

たとえば、POST /api/usersを使用して新しいユーザーを作成します。このサイトは登録ページを提供し、このAPIを使用してユーザーを登録します（AJAX経由）。他のアプリもこのAPIを使用してユーザーを登録できるようにしたいと思います。

一般に、ハッシュされた文字列を使用して、他のアプリからのリクエストを認証します。しかし、私はフロントページに同じことをすることはできないと思う。

フロントページと他のアプリを別々に使用する2つのAPIを使いたくありません。だから私はこれをどのようにすることができますか？

私はNode.jsとExpressを使用しています。

Answer 1

APIの組み合わせを使用することをおすすめします。ユーザーにログインするか、セッショントークンを返す必要があります。その後、すべての後続の要求にそのトークンを含める必要があります。サーバー上の他のAPIは、ユーザーセッショントークンなしで要求を許可すべきではありません。したがって、リクエストが/ app/dataなどに来ると、サーバーはセッショントークン（通常はヘッダーで送信されます）を検索して、ユーザーが存在し、ログインしていることを確認します。

これは通常、ユーザーはWebサイトから登録する必要があるため、Webサイトのシナリオを使用します。したがって、登録APIは登録APIに対してCORSを許可せず、サーバー内の他のすべてのAPIに対してCORSを許可することによってウェブサイトに限定されています。セッショントークンが有効であることを確認するためにセッショントークンを検索している限り、そこにはセキュリティリスクがあまりにも多いとは思われません。

さらに高度で安全なアプローチは、OAuth 2でAPIを保護することです。サーバーを所有しているため、ウェブサイトとモバイルアプリの両方からのOAuth 2ハンドシェイクを使用してユーザーを登録するのは簡単です。