L'authentification avec AngularJS, gestion de session, les questions de sécurité avec l'Api REST WS

C'est côté client de sécurité que vous pouvez mettre en œuvre régulièrement Angulaire versions.
J'ai essayé et testé cette.
(S'il vous plaît trouver mon article ici:- http://www.codeproject.com/Tips/811782/AngularJS-Routing-Security )
En outre, à côté client voie de la sécurité, vous avez besoin pour sécuriser l'accès au serveur de côté également.
Côté Client, de sécurité permet d'éviter les extra aller-retour vers le serveur. Cependant, si quelqu'un à des astuces le navigateur , le serveur de côté de serveur de sécurité doit être en mesure de refuser l'accès non autorisé.

Espérons que cette aide!

Étape 1: Définir des variables Globales dans l'app-module

-définir des rôles pour l'application

  var roles = {
        superUser: 0,
        admin: 1,
        user: 2
    };

-Définir l'itinéraire Pour les Accès non autorisés pour l'application

 var routeForUnauthorizedAccess = '/SomeAngularRouteForUnauthorizedAccess';

Étape 2: Définir le service d'autorisation

appModule.factory('authorizationService', function ($resource, $q, $rootScope, $location) {
return {
//We would cache the permission for the session, to avoid roundtrip to server for subsequent requests
permissionModel: { permission: {}, isPermissionLoaded: false  },
permissionCheck: function (roleCollection) {
//we will return a promise .
var deferred = $q.defer();
//this is just to keep a pointer to parent scope from within promise scope.
var parentPointer = this;
//Checking if permisison object(list of roles for logged in user) is already filled from service
if (this.permissionModel.isPermissionLoaded) {
//Check if the current user has required role to access the route
this.getPermission(this.permissionModel, roleCollection, deferred);
} else {
//if permission is not obtained yet, we will get it from  server.
//'api/permissionService' is the path of server web service , used for this example.
$resource('/api/permissionService').get().$promise.then(function (response) {
//when server service responds then we will fill the permission object
parentPointer.permissionModel.permission = response;
//Indicator is set to true that permission object is filled and can be re-used for subsequent route request for the session of the user
parentPointer.permissionModel.isPermissionLoaded = true;
//Check if the current user has required role to access the route
parentPointer.getPermission(parentPointer.permissionModel, roleCollection, deferred);
}
);
}
return deferred.promise;
},
//Method to check if the current user has required role to access the route
//'permissionModel' has permission information obtained from server for current user
//'roleCollection' is the list of roles which are authorized to access route
//'deferred' is the object through which we shall resolve promise
getPermission: function (permissionModel, roleCollection, deferred) {
var ifPermissionPassed = false;
angular.forEach(roleCollection, function (role) {
switch (role) {
case roles.superUser:
if (permissionModel.permission.isSuperUser) {
ifPermissionPassed = true;
}
break;
case roles.admin:
if (permissionModel.permission.isAdministrator) {
ifPermissionPassed = true;
}
break;
case roles.user:
if (permissionModel.permission.isUser) {
ifPermissionPassed = true;
}
break;
default:
ifPermissionPassed = false;
}
});
if (!ifPermissionPassed) {
//If user does not have required access, we will route the user to unauthorized access page
$location.path(routeForUnauthorizedAccess);
//As there could be some delay when location change event happens, we will keep a watch on $locationChangeSuccess event
//and would resolve promise when this event occurs.
$rootScope.$on('$locationChangeSuccess', function (next, current) {
deferred.resolve();
});
} else {
deferred.resolve();
}
}
};
});

Étape 3: Utiliser la sécurité de routage: Permet d'utiliser tous nos hardword fait jusqu'à présent, pour sécuriser les routes

var appModule = angular.module("appModule", ['ngRoute', 'ngResource'])
.config(function ($routeProvider, $locationProvider) {
$routeProvider
.when('/superUserSpecificRoute', {
templateUrl: '/templates/superUser.html',//path of the view/template of route
caseInsensitiveMatch: true,
controller: 'superUserController',//angular controller which would be used for the route
resolve: {//Here we would use all the hardwork we have done above and make call to the authorization Service 
//resolve is a great feature in angular, which ensures that a route controller(in this case superUserController ) is invoked for a route only after the promises mentioned under it are resolved.
permission: function(authorizationService, $route) {
return authorizationService.permissionCheck([roles.superUser]);
},
}
})
.when('/userSpecificRoute', {
templateUrl: '/templates/user.html',
caseInsensitiveMatch: true,
controller: 'userController',
resolve: {
permission: function (authorizationService, $route) {
return authorizationService.permissionCheck([roles.user]);
},
}
})
.when('/adminSpecificRoute', {
templateUrl: '/templates/admin.html',
caseInsensitiveMatch: true,
controller: 'adminController',
resolve: {
permission: function(authorizationService, $route) {
return authorizationService.permissionCheck([roles.admin]);
},
}
})
.when('/adminSuperUserSpecificRoute', {
templateUrl: '/templates/adminSuperUser.html',
caseInsensitiveMatch: true,
controller: 'adminSuperUserController',
resolve: {
permission: function(authorizationService, $route) {
return authorizationService.permissionCheck([roles.admin,roles.superUser]);
},
}
})
});

Tout d'abord, il n'y a pas de court ou seulement une réponse à ce que vous avez demandé. En plus de ce qui a déjà été répondu, je vais essayer d'ajouter quelque chose de plus. Au niveau de l'entreprise , il y a quatre composantes principales ,

1. De l'INTERFACE utilisateur
2. Serveur d'Authentification utilisateur - vous de valider les informations d'identification d'utilisateur et de générer des cookies nécessaires permettant à l'utilisateur d'aller de l'avant sur l'INTERFACE utilisateur. Si cette étape échoue, l'utilisateur s'arrête là. Ce serveur n'a rien à voir avec l'API de génération jeton & vous en avez besoin pour les non - API basée sur les systèmes de trop.Google Authentification en est un exemple.

Extension:Siteminder Authentification

SiteMinder les Cookies, leur Utilisation, de Contenu et de Sécurité

La construction d'une Java serveur d'authentification pour Chatkit

1. Clé API Serveur - Ce serveur génère des jetons API basée sur les cookies générés à l'étape # 2 c'est à dire vous envoyer des cookies pour serveur et obtenir un jeton
2. Api - Vous utiliser un jeton généré à l'étape 3 pour effectuer des appels de l'API.

Son meilleur que vous déployez & gérer ces quatre composantes indépendamment pour une meilleure échelle . par exemple, dans cet article, ils ont mélangé l'authentification & token de génération dans l'unique point de fin & c'est pas bon - Microservices avec Spring Boot — Authentification avec JWT (Partie 3)

Par votre écriture, il semble que vous avez écrit composant de deux & trois sur votre propre, généralement les gens utilisent des outils comme CA SiteMinder - Comment CA Siteminder œuvres – notions de base

Des conseils sur la façon de générer un unique fort jeton?

Je vous suggère d'aller par moyen standardisé pour une meilleure maintenabilité & la sécurité, c'est à dire que vous choisissez JWT format. JSON Web Jeton (JWT) Schéma d'Authentification

Votre jeton sera signé & crypté de sorte que vous aussi, Vous avez besoin d'un serveur de clés de chiffrement & un mécanisme pour faire tourner ces touches à intervalles réguliers.

JSON Web Jetons - Comment stocker de manière sécurisée les clés?

Quelle est la différence entre JWT et de chiffrer certaines json manuellement avec AES?

CA personne a joint un pdf détaillé guide sur ce portail de la communauté - qui vous aidera à comprendre le flux global.

Exemple de Code /l'Application à utiliser de REPOS JWT jeton API

Votre code API aura besoin de récupérer la clé de cryptage et de déchiffrer & décoder le jeton pour authentifier jeton. Si le jeton est altéré ou manquant, vous devez le signaler comme tel. Il existe des bibliothèques disponibles pour cela.

Est-il préférable de stocker le jeton à l'intérieur d'un nouveau cookie ou dans
localStorage?

local de Stockage si UI & API sont sur différents domaines & Cookies si sur le même domaine.

Devrait JWT être stockés dans localStorage ou de biscuits?

Inter-Domaine Cookies

Sécurité d'une application dépend aussi du modèle de déploiement et que vous n'avez pas spécifié dans votre question. Parfois , les développeurs pourraient laisser comme simple failles dans leur code que l'Injection SQL 🙂

Que faire si JWT est volé?