我在 AngularJS SPA 中使用资源所有者密码凭证 OAuth 2.0 流程。有几篇文章(here，here ..)和this question的答案。这解释了我们不应该在(网络)客户端(LocalStorage)上存储刷新 token ，而是将它们加密存储在 HttpOnly Cookie 中并使用代理 API，我们在其中实现刷新 token 的解密以将其转发到安全 token 服务。
大多数文章都暗示我们应该通过使用一种常见的保护机制来关注 CSRF。我想知道单页应用程序中的最佳解决方案是什么。
Angular $http引用解释了我们应该如何应对 CSRF 的默认机制:服务器必须设置一个名为 XSRF-TOKEN 的 cookie。此 cookie 必须是 Javascript 可读的，以便我们可以在我们的请求中设置 X-XSRF-TOKEN HTTP header 。这种机制是否足以保护刷新 token 场景？
第一次启动应用程序。没有可用的访问 token 或 cookie，我们必须使用用户名和密码登录。 api/login 为我们提供了一个访问 token ，我们将其保存在内存中并设置两个 cookie。 HttpOnly 刷新 token cookie 和 JS 可读 XSRF-TOKEN cookie。
访问 token 过期。调用 api/token 验证 XSRF-TOKEN 并使用 token cookie 返回新的访问 token ；设置一个新的刷新 cookie
从 AppCache 重新启动应用程序。内存中没有访问 token ，但 cookie 可用。使用api/token...
坏人想偷我们的刷新 cookies 。准备好的页面使用我们的 cookie 向 api/token 发出请求，但没有 X-XSRF-TOKEN HTTP header 。
有任何严重的安全问题吗？
最佳答案
据我所知，执行此操作的最佳方法是当服务器呈现 index.html 并在其中包含 CSFR token 时，然后您将作为标准 AngularJS SPA 运行。因此 index.html 然后使用后端服务/框架生成的 CSFR token 进行充实。 SpringSecurity 为将 token 注入(inject)模板提供了很好的支持。
之后，您可以使用 javascript 从模板中获取 token ，并使用 httpInterceptor 将其设置为 header 中的所有 $http 请求，请求 Hook 。 (或 cookies )？我不记得正确的方法是什么，但我确信它在你上面提到的文章中有描述)
关于javascript - SPA 中刷新 token Cookie 的 CSRF 保护，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/30619782/
我遇到了一个非常奇怪的问题，我很难解决。在我看来，我有一个与data-remote="true"和data-method="delete"的链接。当我单击该链接时，我可以看到对我的Rails服务器的DELETE请求。返回的JS代码会更改此链接的属性，其中包括href和data-method。再次单击此链接后，我的服务器收到了对新href的请求，但使用的是旧的data-method，即使我已将其从DELETE到POST(它仍然发送一个DELETE请求)。但是，如果我刷新页面，HTML与"new"HTML相同(随返回的JS发生变化)，但它实际上发送了正确的请求类型。这就是这个问题令我困惑的
我有这个:AccountSummary我想单击该链接，但在使用link_to时出现错误。我试过:bot.click(page.link_with(:href=>/menu_home/))bot.click(page.link_with(:class=>'top_level_active'))bot.click(page.link_with(:href=>/AccountSummary/))我得到的错误是:NoMethodError:nil:NilClass的未定义方法“[]” 最佳答案 那是一个javascript链接。Mechan
我看到有关未找到文件min.map的错误消息:GETjQuery'sjquery-1.10.2.min.mapistriggeringa404(NotFound)截图这是从哪里来的？ 最佳答案 如果ChromeDevTools报告.map文件的404(可能是jquery-1.10.2.min.map、jquery.min.map或jquery-2.0.3.min.map，但任何事情都可能发生)首先要知道的是，这仅在使用DevTools时才会请求。您的用户不会遇到此404。现在您可以修复此问题或禁用sourcemap功能。修复:获取文
假设你有这个结构:classHouse请注意，Tv的用户是故意不可访问的。所以你有一个三层嵌套的表单，允许你在一个页面上输入房子、房间和电视。这是Controller的创建方法:defcreate@house=House.new(params[:house])if@house.save#...standardstuffelse#...standardstuffendend问题:您究竟如何为每台电视填充user_id(它应该来自current_user.id)？什么是好的做法？这是我在其中看到的catch22。将user_ids直接填充到params散列中(它们嵌套得很深)保存将失败，因
我有一个用Rails3编写的站点。我的帖子模型有一个名为“内容”的文本列。在帖子面板中，html表单使用tinymce将“content”列设置为textarea字段。在首页，因为使用了tinymce，post.html.erb的代码需要用这样的原始方法来实现。.好的，现在如果我关闭浏览器javascript，这个文本区域可以在没有tinymce的情况下输入，也许用户会输入任何xss，比如alert('xss');.我的前台会显示那个警告框。我尝试sanitize(@post.content)在posts_controller中，但sanitize方法将相互过滤tinymce样式。例如
出于某种原因，我必须为Firefox禁用javascript(手动，我们按照提到的步骤执行http://support.mozilla.org/en-US/kb/javascript-settings-for-interactive-web-pages#w_enabling-and-disabling-javascript)。使用Ruby的SeleniumWebDriver如何实现这一点？ 最佳答案 是的，这是可能的。而是另一种方式。您首先需要查看链接Selenium::WebDriver::Firefox::Profile#[]=
我是Ruby和Watir-Webdriver的新手。我有一套用VBScript编写的站点自动化程序，我想将其转换为Ruby/Watir，因为我现在必须支持Firefox。我发现我真的很喜欢Ruby，而且我正在研究Watir，但我已经花了一周时间试图让Webdriver显示我的登录屏幕。该站点以带有“我同意”区域的“警告屏幕”开头。用户点击我同意并显示登录屏幕。我需要单击该区域以显示登录屏幕(这是同一页面，实际上是一个表单，只是隐藏了)。我整天都在用VBScript这样做:objExplorer.Document.GetElementsByTagName("area")(0).click
我有一个Sinatra应用程序，它有一个长时间运行的进程(网络抓取工具)。我希望应用程序在爬虫运行时而不是在结束时刷新爬虫进度的结果。我已经考虑过fork请求并使用ajax做一些有趣的事情，但这是一个非常基本的单页应用程序，实际上只需要在它发生时将日志输出到浏览器。有什么建议吗？ 最佳答案 更新(2012-03-21)从Sinatra1.3.0开始，您可以使用新的流式API:get'/'dostreamdo|out|out旧答案不幸的是，您没有可以简单地刷新到的流(这不适用于Rack中间件)。从路由block返回的结果可以简单地响应
🎉精彩专栏推荐💭文末获取联系✍️作者简介:一个热爱把逻辑思维转变为代码的技术博主💂作者主页:【主页——🚀获取更多优质源码】🎓web前端期末大作业：【📚毕设项目精品实战案例(1000套)】🧡程序员有趣的告白方式：【💌HTML七夕情人节表白网页制作(110套)】🌎超炫酷的Echarts大屏可视化源码：【🔰Echarts大屏展示大数据平台可视化(150套)】🔖HTML+CSS+JS实例代码：【🗂️5000套HTML+CSS+JS实例代码(炫酷代码)继续更新中…】🎁免费且实用的WEB前端学习指南：【📂web前端零基础到高级学习视频教程120G干货分享】🥇关于作者:💬历任研发工程师，技术组长，教学总监；
我有一个Rails应用程序。还有一个javascript(javascript1.js)文件必须包含在每个View的最底部。我把它放在/assets/javascripts文件夹中。Application.js包含以下代码//=requirejquery//=requirejquery_ujs//=someotherfiles//=require_directory.即使Application.js中不包含javascript1.js，它也会自动包含，不是吗？那么我怎样才能做我想做的事呢？ 最佳答案 单独定义、包含和执行您的java
