想问一下，做前后端分离的大佬怎么做的后端 api 安全

› Vue.js

This topic created in 3044 days ago, the information mentioned may be changed or developed.

如题，最近在学 vue。一直写.net 的。在感觉 vue 写页面很爽的时候突然想到，数据都是通过 ajax 传递，后端的 API 是否有什么方法提高安全性？不然增删改这种敏感操作接口暴露被攻击了就不好了。。

Vue

API

后端

增删

17 replies • 2018-07-07 01:31:56 +08:00

df4VW

Jul 6, 2018

这个跟前后端分离是没关系的，是你逻辑层面要限制你这个用户的权限，不可能你一个普通用户能修改 admin 的密码对吧

xingyue

Jul 6, 2018 via Android

每次请求都带上 token 验证用户身份

ebony0319

Jul 6, 2018 via Android

https，OAuth 2.0，token，sign

ebony0319

Jul 6, 2018 via Android

https，OAuth 2.0，token，sign，再复杂一点用对称加密。

berumotto

Jul 6, 2018

identityserver4

guolaopi

Jul 6, 2018

根据 cookie 来判断用户权限吗？

guolaopi

Jul 6, 2018

@df4VW 根据 cookie 来判断用户权限吗？

guolaopi

Jul 6, 2018

@berumotto 公司项目有在用，感觉不太好用。。

guolaopi

Jul 6, 2018

@xingyue token 放到 url 里面嘛

guolaopi

Jul 6, 2018

@ebony0319 谢啦

Felldeadbird

Jul 6, 2018

接口暴露了是必然的，被攻击也是必然的。但是就算没有前后端分离，人家不一样爬你数据，DD 你的站么？
后端安全方面，要做的就是鉴权。防止非法操作获取到敏感的数据。

xingyue

Jul 6, 2018

@guolaopi 请求头里面 Authorization

icekingcy

Jul 6, 2018 via iPhone

APIGATEWAY

murmur

Jul 6, 2018

简单的权限校验可以用框架业务上的校验就哭吧

tabris17

Jul 6, 2018

权限验证呗，再加个 ANTI-CSRF 的 token 就 OK 了

limerence12138

Jul 6, 2018 via Android

当你经常看见 401，403 就知道了

mmdsun

Jul 7, 2018 via Android

jwt, rsa