Dojo Web 应用程序身份验证

Question

我正在尝试使用 Dojo 开发一个纯 javascript Web 应用程序。我面临的问题之一是限制对应用程序某些部分的访问。经过身份验证的用户应该能够访问所有内容，而未经身份验证的用户应该只能访问登录屏幕。

问题是，没有什么（据我所知）可以阻止用户打开浏览器 JavaScript 终端并输入类似以下内容： app.displayRestrictedContent(); ，从而访问旨在用于经过身份验证的用户。

我已经实现了基于ajax的登录；所有 ajax 调用都通过会话进行保护。因此，虽然未经身份验证的用户可以加载受限屏幕，但他们将无法为其获取数据。但是，随意访问该屏幕似乎是错误的。

我正在尝试做不可能的事情吗？当它如此容易被绕过时，编写诸如 if (user.auth) app.displayRestrictedContent(); 这样的代码似乎很愚蠢。这让我相信我错过了一些对其他人来说相当明显的东西。我根本找不到太多关于纯基于 javascript 的应用程序和身份验证模型的信息。

Answer 1

But still, It seems wrong for this screen to be arbitrarily accessible.

因为它是客户端代码。你用 js 编写的任何东西，或者编译成 js 的东西，都希望它能够被用户读取。

Am I trying to do the impossible?

您可以在用户验证后动态加载js模块。所以一开始只加载1个登录模块。当用户登录时，如果成功，服务器返回要加载的js模块列表，如果不成功，则返回空列表。它还有助于缩短用户访问您网站时的加载时间。

Answer 2

我绝不是专家，但以下是我对此的一些想法。我不认为你错过了任何东西（如果是这样，我也错过了） - 我认为这是所有客户端应用程序的一个非常基本的问题，无论它是编译的可执行文件还是 JavaScript。

当然，编译后的可执行文件并没有受到它的特别阻碍，因为它被制作成机器代码，很难读取或反编译成任何有用的东西。然而，使用 Javascript，应用程序通常会完全按照您编写的方式提供服务，因此很容易修改和推理。

这让我想到了第一个半解决方案：混淆你的 Javascript。如果您将 Dojo 的构建工具与 Shrinksafe 参数一起使用，所有不必要的空格都会被删除，所有标识符都会被缩短，从而使代码非常难以阅读。我称这是一个半解决方案，有些人可能会说，即使这样也太过于信任了——我自己仍然认为这是值得做的。毕竟，缩小后的代码下载速度也更快！

我在应用程序中采取的第二个措施是将不同的部分分成“构建层”。例如，在我的构建配置文件中，我将具有类似

dependencies = {
    ..
    layers: [
        { name: "../myApp/Core.js", resourceName: "myApp.Core",
          dependencies: ["myApp.Core", "myApp.Foobar"] 
        },
        { name: "../myApp/modules/Login.js", resourceName: "myApp.modules.Login",
          dependencies: ["myApp.modules.Login", "myApp.modules.LoginUi"...],
          layerDependencies: ["../myApp/Core.js"]
        },
        { name: "../myApp/modules/Secret.js", resourceName: "myApp.modules.Secret",
          dependencies: ["myApp.modules.Secret", "myApp.modules.SecretUi"],
          layerDependencies: ["../myApp/Core.js"],
          authentication: 42
        }
    ]
}

Now 的内容，而不是将构建的 JS 文件直接作为静态文件提供，而是让请求通过服务器端应用程序中的控制器，该控制器检查 JS 层是否需要身份验证以及用户是否以必要的访问权限登录。

这确实有一定的缺点。 JS 文件不会被缓存，如果我将所有 JS 放在一个构建层中，应用程序的加载速度可能会稍快一些。当然，制作图层的细微差别也是有限度的。更多层意味着更多麻烦，但也意味着更细粒度的模块访问。

我也有兴趣听到其他人对此发表意见。这是一个好问题。

Answer 3

当用户成功登录时，服务器应向他提供会话令牌。之后，每当用户请求资源时（无论是通过重定向浏览器还是通过 AJAX），他都会向服务器显示他的会话令牌（通过将其存储在 cookie 中并在所有请求中自动发送它，或者通过在正文中显式传递它） AJAX 请求）

然后，服务器可以使用用户的会话令牌来控制服务器端的授权，拒绝任何具有无效或过时令牌的请求。

https://en.wikipedia.org/wiki/HTTP_cookie#Session_management