NODE Passport HTTP要求

Question

ユーザーのデータをreq.userおよびreq.passportに保存しても安全ですか？ブラウザからサードパーティに簡単にアクセスして読み取り可能ですか？

私はreq.userからmongooseエントリがユーザに属している場合、IDでチェックするためにreq.userを使用しています。 Req.userとreq.passportにブラウザからアクセスできる場合は、POSTリクエストを操作して検証をスキップするのが簡単です。

よろしく、 AA

Answer 1

あなたはエクスプレスとパスポートを使用していると仮定すると、パスポートは、ブラウザに任意のユーザー情報を利用できるようにしていません。

通常の方法では、クライアントが最初にサーバーに接続すると、一意の暗号化されたセッションIDがCookieに格納され、すべてのブラウザで確認できます。そのsessionIDは、ユーザーセッション情報へのサーバー側のアクセスを提供するサーバー側のストアのキーです。サーバーが明示的にそのデータの一部をWebページに入れたり、エンドポイントに照会して公開しない限り、その情報はブラウザー側では利用できません。