如何在angular和spring应用中隐藏访问令牌？
在Angular和Spring应用中隐藏访问令牌可以通过以下步骤实现：
- 生成访问令牌：首先，在身份验证成功后，生成一个访问令牌（Access Token）。访问令牌是一个加密的字符串，用于验证用户的身份和权限。
- 存储访问令牌：将生成的访问令牌存储在前端应用的本地存储（如LocalStorage或SessionStorage）中。
- 发送访问令牌：在每次向后端发送请求时，将访问令牌作为请求头的一部分发送给后端。可以使用Angular的HttpClient模块来发送请求，并在请求头中添加访问令牌。
- 后端验证令牌：后端应用接收到请求后，通过验证请求头中的访问令牌来验证用户的身份和权限。可以使用Spring Security来实现令牌的验证和授权。
- 隐藏访问令牌：为了隐藏访问令牌，可以采取以下措施：
- 使用HTTPS协议：通过使用HTTPS协议来加密通信，可以确保访问令牌在传输过程中不被窃取。
- 设置访问令牌的过期时间：在生成访问令牌时，可以设置一个较短的过期时间，以减少令牌被滥用的风险。
- 使用Refresh Token：可以使用Refresh Token来获取新的访问令牌，而无需在每次过期时重新进行身份验证。Refresh Token应该被安全地存储，并且只在需要时才发送给后端进行刷新操作。
推荐的腾讯云相关产品：
- 腾讯云身份认证服务（CAM）：提供了身份认证和访问管理的解决方案，可用于管理和控制用户的访问权限。详情请参考：腾讯云身份认证服务（CAM）
- 腾讯云SSL证书服务：提供了SSL证书的申请、管理和部署服务，用于加密通信，确保数据传输的安全性。详情请参考：腾讯云SSL证书服务
请注意，以上答案仅供参考，具体实现方式可能因应用需求和技术选型而有所不同。
相关·内容
2回答
我使用keycloak来保护angular前端的登录，而不是spring boot后端。到目前为止，这个方法运行得很好。为此，我使用隐式流和angular-oauth2-oidc。 现在我的问题是:我有第三个应用程序，它是一个普通的java控制台应用程序(没有用户交互的批处理作业)。此应用程序还应该能够使用固定令牌或通过用户名/密码与后端rest api通信。 如何在控制台应用程序中获取持有者令牌？有API和示例吗？
浏览 29提问于2019-01-09得票数 0
回答已采纳
我有一个应用程序，需要实现保护rest API的oauth 2。简单的流程是当用户登录时，他们应该能够访问一些受保护的资源(根据他们的角色)。 我将使用angular 7作为前端。 根据这个图表，我需要使用单页应用程序的隐式授权。 ? 现在我继续搜索，找到了https://www.devglan.com/spring-security/spring-boot-oauth2-angular API Name - Login
Method - POST
URL - oauth/login
Header - 'Authorization': 'Basic ' + b
浏览 19提问于2019-01-20得票数 1
我已经在angular2中创建了yii2应用程序和REST。
"yii\rest\Controller"为Yii2控制器
Angularjs和Angular2都是非常不同的。
我不知道如何在angular2 post请求中使用CSRF令牌.
Angular2和yii2没有任何连接。只有yii2中的api调用。
浏览 3提问于2017-08-22得票数 0
我想要保护使用angular 8和spring boot 5的应用程序，但它是一个自由表单，不需要登录即可访问UI。我已经使用CSRF保护来保护它，但是任何人都可以通过在请求报头中传递CSRF令牌来轻松访问POST端点，可以从GET rest端点获得。因此，我需要任何好的解决方案来实现安全性，以便到spring rest时，除了项目中的角度页面之外，不应该访问其他端点。有谁能帮帮我。
浏览 24提问于2020-03-03得票数 0
1回答
我正在尝试构建spring-angular2 (spring的新手)应用程序，我选择OAuth2作为安全模型。我的新应用程序有3个部分。认证服务器，后端服务器和前端(angular 2)。目前，我仅将OAuth2用于身份验证目的
根据我目前的设计，我的服务器(业务层)将与身份验证服务器通信以进行身份验证(基于authorization_code)，并将接收OAuth2令牌(短期访问令牌和长期刷新令牌)。我在这里的目的是在需要时使用这个刷新令牌来生成访问令牌，直到它过期，然后重定向到auth服务器进行登录。所有令牌管理都将在服务器上处理，前端不会知道这方面的任何事情。
现在有了这个设计，当我运行
浏览 0提问于2016-09-13得票数 0
我有一个基于Spring + JSF的web应用程序目前正在运行。我们计划用Typescript一个模块一个模块地把它移植到Angular 2中。
如何在两个web应用程序之间实现会话状态的集成？用户将只登录一次。根据他选择的模块，他将被重定向到Spring或Angular应用程序。
浏览 0提问于2017-07-01得票数 1
2回答
我正在使用angular应用程序的spring boot微服务。我使用UAA作为授权服务器。如果会话过期意味着应用程序应该在弹出窗口中显示消息，并且应该重定向到登录页面。如何在angular中实现这一点？
有人能在这方面提供解决方案吗？
感谢并致以问候
Shilpa Kulkarni
浏览 0提问于2018-05-09得票数 3
是否可以在Angular 2应用程序中使用Kerberos？我们使用的是Spring，它托管了我们的REST服务，还通过Kerberos保护了Angular 2资源。我们希望添加角色，并定义Angular2应用程序中的哪些功能可用于某些角色。关于如何做到这一点的信息似乎很少，因为大多数人似乎都去使用JWT或OAuth。
是否可以使用Kerberos进行初始身份验证，然后生成JWT并将其发送回浏览器？
目前，我正在考虑设置一个REST端点/user，它返回有关当前登录用户的所有信息，包括他/她的权限。在Angular中，我可以读取这些权限，并相应地操作UI和路由。来自服务器的数据已经受到Kerb
浏览 1提问于2017-02-08得票数 4
我正在使用angular和spring boot构建一个应用程序。我需要从前端使用Azure AD进行SSO，然后使用令牌保护spring引导服务。(简而言之，我的angular将连接到office 365登录，然后用户将使用spring security进行身份验证连接，在那里它将验证令牌，如果有效，它将给出响应。)在angular中，我使用adal-angular4，在spring boot中使用azure-active-directory-spring-boot-starter。另外，如何在Azure AD门户中注册应用程序(前端和后端)。
我正在尝试使用一些文章。当我使用令牌点击URL
浏览 122提问于2019-06-18得票数 1
回答已采纳
我在我的+ Angular2应用程序中使用AzureADSD2.0授权流。
我的申请流程
(从前端到我的Spring应用程序的第一个请求) Spring引导应用程序重定向它的Azure登录页面。
用户输入他的凭证
授权服务器向redirect_uri发送POST请求，此请求与其他用户信息(如姓名、姓氏和用户id)一起具有authorization_code。
然后，我使用bearer令牌和refresh_token获取authorization_code
现在，我想将bearer_token发送到其他将验证bearer_token的微服务。
我的问题是如何在其他微服务中
浏览 2提问于2017-08-09得票数 9
回答已采纳
How can I get the token to the front end angular application after successful redirection to the index.html page happens like
1. I have used
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-oauth2-client
浏览 10提问于2022-10-18得票数 1
假设我们有一个基于restFul和OAuth2实现的应用程序，当然，我们还将用户的角色和权限存储在后端，后者是由Java和spring引导实现的。所以我想知道我们如何处理前端用户的权限。实际上，有些字段或列应该显示给具有特定权限或角色的用户，但其他用户可以看到有限的字段或列。
对这种情况，最有效和最明智的解决办法是什么？
应该从后端获取可用字段或列吗？应该有关于用户凭据的所有信息来决定吗？还是有什么解决方案？。
浏览 5提问于2020-06-08得票数 1
回答已采纳
当我开始使用Spring Boot和Angular 7时，我遇到了用户身份验证。 让我们假设如下:我有一个带有Angular 7的前端和一个带有Spring Boot的后端，它提供了可以通过HTTP访问的API。 所以我知道，通常前端会使用JWT来验证用户，它存储了可能需要的关于用户的所有必要信息。但我偶然发现了Spring Boot Security的SecurityContextHoler： Authentication authentication = SecurityContextHolder.getContext().getAuthentication(); 这允许我简单地访问已授
浏览 41提问于2019-01-20得票数 0
我有一个angular2应用程序，有一个脸书登录功能。当用户对自己进行身份验证时，我会将此accessToken发送到服务器。
服务器程序是用Springboot编写的，而我使用的是spring social。
我想检查一下这个用户是否有权限。
facebook.getToken()返回在客户端生成的访问令牌。当我调用facebook.isAuthorized()时，它返回true...As expected，因为我发送的是真实数据。
但是如果我发送的是假数据，比如：
(本例中的令牌是我伪造的)到相同的API端点，facebook.isAuthorized返回true
浏览 5提问于2017-04-09得票数 0
我有一个Asp.Net核心项目，其中包含一个angular应用程序。在asp.net核心项目中有几个API控制器。这些控制器是从角度应用程序中调用的。
asp.net核心应用程序通过使用OpenIdConnect和Cookies的Azure身份验证进行保护。我要看的是如何为用户处理过夜空闲会话的令牌到期问题。
当前，如果用户将恢复已过期的浏览器会话，则会在从角应用程序发出的异步API调用中抛出异常。如何使角应用程序重新引导用户返回到Azure AD应用程序的登录页面？
浏览 4提问于2017-10-17得票数 1
回答已采纳
我正在评估Keycloak 7.X在我们的应用程序中使用，它由大约12个微服务(Spring Boot)和4个Angular 6.x应用程序组成。我计划将Keycloak适配器用于Angular应用程序以及Spring Boot，而不是用于SpringBoot的OAuth 2.0。我的概念证明必须演示以下用例。
(1)单点登录。(2)基于角色的访问控制(3)策略和权限-例如，具有“主管”角色的用户应该能够访问组织中所有员工的工资。但是，他/她只能给那些在主管的同一地点工作的员工加薪。换句话说，将有一个属性"location“与每个用户相关联。即使用户的角色是"Superviso
浏览 5提问于2019-10-07得票数 2
1回答
我们有一个由ASP.NET Web支持的Angular SPA，它使用带有持有者令牌的OAuth 2.0SPA进行授权。该接口使用Microsoft.Owin.Security.OAuth实现OAuth。 我们正在尝试与使用Authorization Code Grant的第三方应用程序集成，这样用户就可以授权它代表他们访问我们的应用程序。 我们希望授权页面成为SPA的一部分，但我在弄清楚如何将授权请求从SPA提交到API并将其重定向回第三方应用程序时遇到了麻烦。 我尝试过使用AJAX (与SPA中的所有其他API请求一样)和常规HTML表单(以便重定向响应重定向页面)。 我们最初从API发
浏览 12提问于2019-02-01得票数 2
回答已采纳
我有一个Angular SPA应用程序，并且已经使用Okta设置了OAuth2身份验证。我还有Spring Boot Restful Web服务，它也需要身份验证。我遵循了这个教程：
我想使用在使用SPA登录时收到的访问令牌对发送到Spring Boot RESTful web服务的请求进行身份验证。我怎么才能用Okta做到这一点？
浏览 0提问于2021-04-24得票数 0
我知道你可能会被标题搞糊涂。请看图片。
我有一个由spring security和spring security oauth2客户端保护的后端服务器。
@EnableWebSecurity
public class OAuth2ClientSecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
浏览 10提问于2019-12-04得票数 0
回答已采纳
我正在构建一个持卡人应用程序，其中UI在Angular 4中，后端在Spring Rest Service中。现在，有一个登录屏幕，所以一旦用户登录，他可以看到另一个屏幕，如交易历史，货币列表，货币汇率等。
现在，我的挑战是：(1)如何加密用户名和密码，以防止它被黑客攻击。(2)如何维护用户会话，因为我在Spring Rest (Java)中有Angular和backend中的UI
请帮帮忙
浏览 0提问于2019-07-05得票数 0
3回答
我有两个应用程序，一个是spring boot，另一个是angular。目前，我已经将我的应用程序与azure广告集成在一起，并因此通过它进行身份验证。现在这里的问题是，当用户从前端应用程序注销时，如果令牌未过期，如何使Azure AD提供的JWT令牌无效。因为，如果有人能够在用户注销的情况下获得令牌，他可以使用该令牌从后端检索数据。你知道怎么做吗？
浏览 3提问于2020-01-07得票数 0
您看到问题的图形应用编程接口请求
Graph API error message
{
'error': {
'code': 'InvalidAuthenticationToken',
'message': 'Access token validation failure. Invalid audience.',
'innerError': {
'request-id': '12e4940d-
浏览 18提问于2020-05-07得票数 0
我们正在开发一个使用Angular和Spring的应用程序。我们从后端公开了一些REST web服务。
我知道强烈建议REST web服务应该是无状态和无会话的，所以我们正在开发无状态和无会话的web服务。
我们如何保护web服务不被未经授权的客户端调用。所以我希望从Angular应用程序中调用这些服务。
我知道要阻止来自Selenium等工具的调用几乎是不可能的，但没关系，因为客户端也是Angular应用程序。
浏览 0提问于2018-08-13得票数 0
我有一个spring boot (后端)和angular (前端)应用程序，我想用keycloak保护它(用于身份验证)。
我有一个非常基本的部署，其中spring创建的可执行jar还提供客户端代码(来自angular)。
我看过几个教程，其中正面和背面是分开的，正面使用代码流+ pkce将其身份验证委托给keycloak，而背面是无状态的，并检查是否存在由keycloak实例认证的jwt令牌。
但是，由于我有一个后端服务器，所以我希望避免使用公共客户端，而是依赖于服务器端的反向通道令牌交换。因此，前端不应该对keycloak实例有任何了解。
这是可能的吗?/这是最佳实践吗？有没有一个前置库可
浏览 3提问于2021-03-29得票数 2
我正在尝试将Azure active directory与我拥有的应用程序集成。应用程序的前端是Angular 7，后端是Spring boot。我所做的是通过使用microsoft adal库在Azure门户和Angular端创建一个web应用程序，获取访问令牌，然后将令牌传递给每个请求，并在spring boot后端对令牌进行身份验证。我需要知道的是我做的方式是正确的，即，我正在使用相同的azure应用程序凭据(客户端id，租户id.....)穿着角靴和弹力靴。我们需要为前端和后端创建不同的应用程序。以及从前端获取访问令牌是否正确。
app.module.ts
--------------
浏览 2提问于2020-06-05得票数 0
我是Angular 7的新手。我想构建Spring 7应用程序，但我对Spring Boot+ + Angular 7如何协同工作感到困惑。为了解释我的问题，我创建了一个示例项目，其中我定义了rest控制器和angular应用程序，其中我创建了模块并定义了路由。现在，当我从IDE内部运行Spring boot应用程序时，我无法理解应用程序的行为。由此产生的一些问题包括：
1)当我启动应用程序并在浏览器中点击时，调用将转到Spring Boot application服务器或angular服务器。
2)当我在浏览器中手动编写一个在angular中配置的路由路径时，为什么调用不会去往angular
浏览 1提问于2019-03-27得票数 0
我已经将keycloak适配器集成到了我的spring boot应用程序中，如文档中所述。工作流程正在运行。最初，我在属性中使用会话令牌存储，但我想摆脱它，成为无状态的。因此，我将选项更改为cookie令牌存储。
我可以看到我的Spring Boot应用程序确实在KEYCLOAK_ADAPTER_STATE cookie ()中发送了密钥罩访问令牌。不出所料，它被标记为HTTP cookie。
然而，当我查询我后端时，进一步的angular http请求不会发送cookie，即使我在查询中打开了withCredentials选项。
let options : RequestOptions =
浏览 3提问于2018-03-24得票数 1
我一直在阅读IdentityServer4的快速入门，对于如何实现SPA的隐式流仍然有一些疑问。 我的设置如下： IdentityServer4作为令牌服务器需要保护(使用WebAPICore)使用Angular的SPA 我的问题很简单:用户输入用户名和密码的登录屏幕是由IdentityServer提供的，还是Angular应用程序提供的？如果我们要使用IdentityServer提供的登录窗口，最佳实践是直接重定向到该窗口，还是应该将其显示在Angular应用程序的iframe中？
浏览 14提问于2019-03-06得票数 1
1回答
在前端和后端保护路由
、、、
我正在构建一个Spring Boot + Angular应用程序。
使用Guard，我可以确保只有登录的用户才能访问我的Angular应用程序(通过JWT)。但这只是一个可以绕过的前端便利。
我是否可以在后端保护我的应用程序，以便非loggen的用户无法访问我的应用程序？这还算个东西吗？
我是不是应该这样做，或者我应该只保护后端API调用，并确保用户无法访问它无法访问的实际数据？
浏览 1提问于2021-11-22得票数 0
2回答
我想使用google作为OIDC协议的id提供商。我有一个简单的应用程序。它会启动，正确地重定向到google，然后返回应用程序，打印用户详细信息并将其存储在会话中。但是，此身份验证似乎来自id令牌，并且它的过期时间只有1小时。 我的yml： spring.security.oauth2.client.registration.google:
client-id: xxxxxxxxx
client-secret: xxxxxxxxx 我的应用程序： @SpringBootApplication
class DemoApplication
fu
浏览 107提问于2020-10-14得票数 0
1回答
我是Swagger的新手，我可以用spring运行swagger UI。
但我想知道swagger中的api_key是什么。api_key的用途是什么？可以用api_key搜索任何api ( spring中的rest控制器)吗？那么如何使用spring rest控制器来配置api_key的api呢？
如果任何应用程序在swagger UI中有超过100个控制器，那么就很难找到特定的控制器。在这种情况下，我们可以简化查找特定控制器的过程吗？它与api_key有关。
提前感谢!！
浏览 0提问于2017-03-28得票数 2
我生成了一个带有V4.13.0 jhipster选项的jhipster单片应用程序：
>Monolithic
> Do not use Jhipster Registry
> authentication (stateless, with a token)
> MySQL in production, H2 in-memory in development
> ehcache
> Gradle
> Angular 5
> Do not enable SASS
> Do not enable i18n
> No testing fra
浏览 6提问于2017-12-29得票数 0
回答已采纳
我希望将Spring Security用于Spring MVC应用程序，这将是一个严格意义上的JSON web服务。我做了一些研究，读了几篇文章，但还没有真正发现任何完整的东西。我希望应用程序是完全无状态的，并使用基于令牌的身份验证。我不希望Spring MVC应用程序有任何表单，或者使用表单进行身份验证。它应该严格接受JSON中的请求和数据，并返回JSON响应。
将有一个Angular JS客户端应用程序，它将需要发送用户名和密码，并从应用程序中获取令牌，以便在连续的请求中使用。在某些情况下，可能也会有Android客户端访问此web服务。
我假设Spring Security在内部有将令牌
浏览 2提问于2014-06-11得票数 23
回答已采纳
我跟踪了一个Spring应用程序的，它允许登录谷歌。好像挺好的！
但我对类中扩展WebSecurityConfigurerAdapter的部分代码感到困惑。具体来说，当它调用HttpSecurity.oauth2Login().userInfoEndpoint().userService(OAuth2UserService<>)时。
以下是Spring的 for OAuth2LoginConfigurer.UserInfoEndpointConfig (我用粗体显示的文本)中的类描述：
授权服务器的 UserInfo端点的配置选项。
那么，这是否意味着该应用程序正在运行授权
浏览 3提问于2022-03-09得票数 0
1回答
这做了一个Spring应用程序(Rest，JPA等)使用(通过Rest)从一个网站(角)和一个移动应用程序(Android)。
使用移动应用程序的用户(在未来)将能够通过Facebook、Google等进行身份验证，并将从应用程序所需的社交网络获得的一些信息存储在数据库中。
我通过提供用户名和密码(保存在数据库中)和从后端释放访问令牌(JWT)来实现身份验证，这两个前端在每个REST请求时都会使用访问令牌(JWT)到Spring。
现在，我希望用户的移动应用程序不要每次输入用户名和密码，而是为了“永远”而保持登录。
我在互联网上看到，当后端(Spring )返回HTTP错误401时，应用程序可
浏览 0提问于2021-02-24得票数 2
2回答
有两个独立运作的web应用程序。Web-app1：(Flutter+Django+Postgres)。Web-app2：(Angular+Spring+Postgres)。每个网络应用程序都有自己的用户数据库，并且都是独立运行的。现在决定集成这两个应用程序，这样Web-app2(Spring)就不再有它在DB中的常规用户(除了Admin用户)。在web-app1(Django)中创建的用户必须以客户端的角度登录，Spring应该对用户进行身份验证，并像以前一样提供Web-app2(Angular+Spring)的所有功能。
我在想两个选择..。
配置Spring，使其直接访问Webapp1‘S
浏览 0提问于2021-05-14得票数 0
回答已采纳
我正在寻找有关如何最好地使用Angular 2和Identity Server 4处理令牌过期的建议。我将隐式流用于Identity Server 4，它不会发出刷新令牌，并且我不希望在令牌过期后必须重定向用户。
另外，为什么没有刷新标记呢？为什么混合流不适用于javascript客户端？我确实控制了ID服务器、应用程序和api，所以这能起作用吗？
浏览 9提问于2017-02-10得票数 4
回答已采纳
我在Ui上有一个带有angular js的spring mvc应用程序。
我有以下要求，其中
我从用户那里获取详细信息(考虑产品、金额)
我需要发送的细节作为post请求支付网关与重定向到支付网关网站
现在，我们将详细信息发送到构建在angular js上的UI，Ui向支付网关发送post请求，我们进入支付网关网站。
由于我们有许多敏感数据发送到UI，我们希望在服务器端实现重定向到支付网关和post请求，以确保安全。
我还不能使用spring mvc中的控制器来做到这一点。
我尝试了以下方法
1] forward://网站名称(因为这不适用于应用程序外部的url )
@RequestMappi
浏览 4提问于2017-07-24得票数 0
我是oauth2的新手，我正在努力理解。
我现正尝试设立以下项目：
spring后端作为资源服务器。基本上是一个使用JWT令牌保护的API，它基于令牌春季引导前端中的用户角色为数据库提供服务，它应该执行授权代码流登录、获取访问令牌并使用该令牌对后端进行API调用。
我应该如何配置这2项服务以实现我想要的？
我已经试过了：
配置了两个密钥披风中的客户端，一个用于BE，一个用于FE，使用Spring.security.oauth2.Resourceserver属性配置BE spring引导，并对其进行了测试，实际上JWT机制正在按预期工作，我可以看到我在密钥披风服务器中设置的角色，并将它们解析为权
浏览 3提问于2022-06-22得票数 0
回答已采纳
1回答
我是OAuth2和(以及WebFlux方面的新成员)。
我的团队决定从Zuul网关转移到。目前的Spring版本是"Greenwich.SR1“
问题是，spring云网关总是响应401。
如何在Spring网关上正确传递访问令牌？
Auth服务器：
@EnableEurekaClient
@EnableAuthorizationServer
@SpringBootApplication
public class AuthServer {...} // jwtAccessTokenConverter bean included
Zuul服务器是：
@EnableEurekaClient
浏览 1提问于2019-06-05得票数 1
回答已采纳
我有一个spring引导应用程序，它提供从MySQL数据库到安卓应用程序的信息。我很难创建一个与spring启动交互的安全登录活动，让我们知道它是一个登录活动，所以当用户被授权时，应用程序可以进行它想要的任何api调用。我看到的唯一方法就是使用spring的预构建登录页面。我希望在android应用程序中创建自己的UI，只需将密码和用户名作为字符串发送，以进行授权检查。我做了一个不安全的解决方案，用户名和密码作为json文件发送，并由请求post方法处理。然而，这并不能解决我只让api调用在用户登录时工作的问题。有没有一种方法可以编辑spring的登录页面，或者像前面提到的那样以一种安全的方式
浏览 0提问于2020-04-28得票数 0
1回答
我们在我们的项目中使用spring安全性(授权和资源服务器)。
客户端发送带有oauth2参数的令牌请求(/oauth/ token )。
spring安全应用程序为用户创建一个令牌，并使用access_token、refresh_token、自定义用户对象(名称、组织、电子邮件等)和权限(角色)响应客户端。
客户端添加其他角色(例如ROLE_CLIENT、ROLE_USER)。
spring应用程序将为给定用户存储上述角色。
下次客户端发送令牌请求时，spring安全性将返回先前创建的令牌(尚未过期)以及用户和权限信息。此权限信息没有最新的角色(添加在step4中)。
浏览 1提问于2019-06-26得票数 0
回答已采纳
我很难为我的SPA应用程序找到合适的身份验证架构。
我们有
SPA ------OAuth Access Token---> Spring Boot Server
|
|
OAuth Authorization Code Flow
|
\|/
OAuth Provider
SPA能够从这个特定的oauth提供者检索OAuth访问令牌(只持续24小时)。让用户每24小时重新登录并不好，因此我们希望让spring服务器与用户保持更长时间的会话。当会话到期时，我们可以再次要求用户对OAuth提供程序进行身份验证。
此OAuth提供程序不提供刷新令牌.
SPA一旦通过身份验证，就应该与我的
浏览 3提问于2021-02-06得票数 0
我有一个移动应用程序，它使用我的Spring后端来进行身份验证和访问数据。Spring应用程序的一部分使用OAuth2从资源服务器访问数据。我偶然发现了一个 for Spring，它发挥了它的魔力，而且一切都是凭空捏造的。
当我试图弄清楚这个库是如何工作的时，我似乎找不到它处理刷新令牌的方法的答案。我知道oauth2client绑定到每个用户的会话，但是当会话结束时会发生什么呢？访问和刷新令牌不会丢失吗？
我在为数据库中的每个用户寻找持久刷新令牌的方法，但在库中没有找到对此的任何支持。这让我想知道我是否必须自己实现它，或者是否有必要这样做。
如有任何建议，敬请谅解！
浏览 2提问于2019-10-14得票数 0
我正试图弄清楚如何为我的Web应用程序实现CSRF保护，这简直要疯了。我已经阅读了大量的页面，但仍然不能决定在我的特定上下文中的解决方案。
因此，首先，我的Web应用程序是用Angular编写的，静态地部署在Apache服务器上。它调用我的服务器上的一些服务，Java类型，部署在应用服务器上的war中。它们都部署在同一个域上。在身份验证之后，在响应中设置通常的会话cookie (secure+HttpOnly)。
现在，我想实现一个基于同步器令牌或双重提交cookie模式的CSRF保护(但从我看到的第一个是更好的解决方案，因为我可以在服务器端处理状态)。
我看到的大多数解决方案都建议生成令牌服
浏览 0提问于2017-10-07得票数 0
我正在使用Spring构建一个简单的微服务web应用程序。我决定为前端创建几个服务，为后端创建几个REST服务。
假设我有两个前端使用Thymeleaf :登录和产品列表。我也有2个休息服务，用户和产品。登录向用户发送管理连接的请求，而products-list向产品发送请求以管理产品上的CRUD操作。某些操作只能在用户连接和身份验证的情况下执行。
问题是:我不知道如何告诉我的产品列表服务，我的用户是连接的。而且，由于登录和产品列表是两个独立的应用程序，所以我还没有找到将数据从登录到产品列表而不公开它们的方法(比如令牌，等等)。
我知道Security存在，但我想找到另一种方法，我甚至可以肯定
浏览 1提问于2021-11-05得票数 3
我已经创建了一个简单的angular spa项目，其中我使用ng2-adal库进行身份验证和授权。该库有一个方法acquireToken，它为您在其参数中指定的单个端点返回单个令牌，并且运行良好。我使用它来进行REST API调用。因为我有多个API端点，所以我需要定义一个端点数组，为这些端点生成一个令牌，我将在所有REST API调用中使用该令牌。
浏览 16提问于2017-08-07得票数 1
使用MSAL - Angular应用程序的Azure AD B2B能够对用户进行身份验证并获得令牌。现在angular应用需要调用app (带有MSAL库的spring boot )。如何针对Azure AD验证此令牌？
浏览 9提问于2021-09-13得票数 1
使用Spring引导实现的Rest服务和使用Spring安全保护的Rest服务部署在wildFly 10上，而Rest应用程序则部署在NodeJS上。
应用程序在Tomcat上部署时可以工作。在野生苍蝇上部署时，get服务正在工作，但对于post，则会出现错误
"403禁用“”在请求参数'_csrf‘或头’XSRF‘上发现无效的CSRF令牌'null’“
当我们将来自postman的XSRF令牌设置为post服务时，它可以工作，但是从角度上“XSRF令牌”不是作为请求头传递的。在服务器端，cookie值在请求中为空。
尝试了以下选项，但仍然面临相同的问题
浏览 0提问于2018-04-25得票数 1
我已经浏览了几天的OAuth2文档，这真的让我很困惑。
我有一个配置了OAuth2的spring-boot应用程序的设置。我想写一个Angular应用程序来访问这些API。在Angular应用程序中有一个登录页面。用户必须输入用户名和密码才能登录(以获取访问令牌)。稍后，还将开发一个Android和iOS应用程序来访问这些API。令人困惑的是，在这种方法中，哪种授权类型最好？
我的发现是资源所有者密码是最好的这种类型的客户端，但我应该将我的客户端凭据保存在Angular应用程序中的哪里，因为将客户端凭据放在客户端应用程序中是不安全的，而且我发现在没有客户端机密的情况下在OAuth2中注册客户端
浏览 0提问于2020-05-18得票数 0
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
腾讯会议
实时音视频活动推荐
腾讯云开发者
