0

Добрый день!

Есть лэндинг страница на которой имеется форма ввода логина и пароля, например, domain.com. И имеется SPA приложение на app.domain.com, на которое идет редирект после логина на лэндинге.

Как более секьюрно сделать аутентификацию по API между доменом и поддоменом, чтобы после редиректа, не беспокоиться за токен?

Вариант 1. Залогиниться в domain.com и передать в качестве GET параметра пллученный токен - очень не секьрно, т.к. легко токен светится в строке браузера, да и впринципе везде в запросе.

Вариант 2. Поставить куки token=mytoken в домене и взять их в поддомене. Немного сомневаюсь, что это тоже секьюрно. Т.к. при любой случайной xss токен можно спереть (конечно, тут нужно следить, чтобы xss не было, но все же, вероятность есть).

Подскажите, пожалуйста, более надежный способ.

Спасибо!

6
  • Например с помощью jwt (куча готовых реализаций). Первый домен после авторизации отдает jwt токен, второй домен сможет его проверить, даже не имя доступа к первому (по подписи). Всю коммуникацию для безопасности осуществлять по https. 26 апр 2016 в 6:09
  • Если не хотите светить токен в GET, можно его в тело POST запроса поместить, или в http заголовок. В реализациях jwt токен обычно передают в заголовоке Authorization. В целом, если это SPA приложение, и запросы идут с помощью XMLHttpRequest, то GET параметры не видны нигде (если конечно не открыть консоль разработчика). 26 апр 2016 в 10:00
  • @Vladimir Gamalian Вы меня немного не поняли. Например, я логинюсь на лэндинг странице, получаю токен, после чего должен произойти редирект на страницу spa, откуда я уже и буду работать с этим токеном (передавать в заголовке Authorization). Проблема именно в том как передать этот полученный токен при редиректе между лэндинг страницей и spa
    – IDD
    26 апр 2016 в 10:16
  • Так понимаю, с первого домена у вас отдается страница с формой и скриптом, который проводит авторизацию, затем вам нужно перейти на другую страницу, где уже основное SPA приложение, которому требуется токен? 26 апр 2016 в 14:56
  • Если так, то первая страница может например через скрытую форму сделать submit на вашу вторую страницу (с токеном в одном из полей формы), сервер возвращает на этот POST вторую страницу, добавляя в неё полученный токен. 26 апр 2016 в 14:59

1 ответ 1

0
  1. При редиректе - передаем токен GET или POST-параметром, как удобнее.
  2. После редиректа - сохраняем (на сервере) токен в HTTP-only куку и делаем еще один редирект.
  3. При обычном обращении к странице - достаем (на сервере) токен из куки и кладем в js-переменную. Для защиты от XSS делаем эту переменную приватной для модуля с помощью замыканий.

Примерно вот так:

var api = function() {
  var token;

  return {
    set_token: function(t) { token = t },

    // другие методы api
  };
}();

// ...

api.set_token("тут, собственно, токен");

Если злоумышленник не успеет подменить функцию api.set_token - то токена получить он уже не сможет.

Но тут надо понимать, что это никоим образом не защита от XSS. Вообще, токены безопасности и прочие сессионные куки - это лишь побочное направление XSS-атак. Скрывая токен от злоумышленника, мы мешаем ему пользоваться приложением в самом комфортном для него сценарии - через UI, но упорного взломщика такое не остановит. XSS на то и XSS что открывает возможность использовать для атаки все, что доступно легитимному пользователю, включая слой API. И защититься от этого невозможно.

Поэтому лучше идти по пути предотвращения XSS:

  • аудит кода;
  • использование умных шаблонизаторов, которые не провоцируют инъекции;
  • использование CSP.
5
  • @IDD ну-у... есть HTTP 307, который требует повторить запрос (с сохранением глагола) в другое место. Возможно, вам именно это и нужно.
    – user181100
    26 апр 2016 в 16:14
  • @IDD когда вы делаете редирект средствами JS - то сделать нет никаких проблем сделать POST-редирект. Просто создаете форму и сабмитите ее. 26 апр 2016 в 16:15
  • @IDD по поводу же токена в строке браузера - второй редирект все спрячет. 26 апр 2016 в 16:16
  • @pavel-mayorov вот по поводу POST, действительно, что-то я совсем не туда подумал, надо больше отдыхать :) спасибо :)
    – IDD
    26 апр 2016 в 18:42
  • @D-side, отлично! Спасибо
    – IDD
    26 апр 2016 в 18:43

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.