无法从服务器端的请求中获取令牌
可能是由于以下几个原因导致的：
- 令牌未正确生成或传递：在进行身份验证和授权时，通常会使用令牌来验证用户的身份。如果令牌未正确生成或未正确传递到服务器端，就无法从请求中获取到令牌。可以通过检查令牌生成和传递的代码逻辑来解决该问题。
- 请求未包含令牌：客户端在发送请求时，需要将令牌作为请求的一部分发送到服务器端。如果请求未包含令牌或者令牌的格式不正确，服务器端就无法从请求中获取到令牌。可以通过检查请求的头部或参数中是否包含正确的令牌来解决该问题。
- 令牌已过期或无效：令牌通常具有一定的有效期，一旦令牌过期或者被标记为无效，服务器端就无法从请求中获取到有效的令牌。可以通过检查令牌的有效期或者进行令牌的验证来解决该问题。
- 令牌验证逻辑错误：在服务器端进行令牌验证时，可能存在逻辑错误导致无法正确获取令牌。可以通过检查令牌验证的代码逻辑来解决该问题。
针对以上问题，腾讯云提供了一系列解决方案和产品：
- 腾讯云身份认证服务（CAM）：CAM提供了一套完整的身份认证和访问管理解决方案，可以帮助用户管理和控制访问权限，包括生成和验证令牌。了解更多信息，请访问：腾讯云身份认证服务
- 腾讯云API网关（API Gateway）：API网关可以帮助用户对API进行统一管理和安全控制，包括对请求中的令牌进行验证和鉴权。了解更多信息，请访问：腾讯云API网关
- 腾讯云访问管理（TAM）：TAM提供了一套全面的访问管理解决方案，可以帮助用户管理和控制访问权限，包括对请求中的令牌进行验证和授权。了解更多信息，请访问：腾讯云访问管理
通过使用腾讯云的相关产品和解决方案，可以有效解决无法从服务器端的请求中获取令牌的问题，并提升系统的安全性和可靠性。
相关·内容
1回答
存储“记住我”曲奇和CSRF保护
、、、、
我一直读到“记住我”的cookie存储在"httpOnly“cookie中，所以JavaScript/XSS无法访问它们。但是，"httpOnly“cookie容易受到CSRF攻击的攻击，因为它们是与请求一起自动发送的。
为了减轻CSRF攻击，建议使用同步令牌模式(让服务器生成csrf令牌并与客户端交叉校验)。
我的问题是，如果有“记住我”的cookie，那么CSRF攻击(恶意JavaScript)是否有可能发出请求并随后从服务器获得csrf令牌？值得关注的是，如果攻击同时具有可以发送请求的标记，那么应用程序的安全性就会受到损害。如果这确实是可能的话，我们如何才能防止这种情况发
浏览 0提问于2016-05-30得票数 1
回答已采纳
我的应用程序是使用SPRING构建的，并且我只公开了很少的Restful URI。(工作正常)例如- //获取登录用户的警报列表。
我使用OWASP CSRFGuard配置了跨站点请求伪造(CSRF)的应用程序，方法是遵循链接- (Working精细)
Restful服务目前由同一个应用程序的UI使用，没有任何问题。(Working )--数据网格是同一WebApp的一部分，它通过调用这个Restful服务(AJAX请求)来显示警报列表。
问题：当我尝试从不同的域/ Chrome客户端访问相同的Restful服务时，除了302之外，它不会返回任何数据。
如果我在csrf
浏览 0提问于2015-03-23得票数 0
我使用的是Ember + ember简单的auth
从facebook获得我的应用程序的认证代码。
这是我的environment.js文件
ENV['torii'] = {
providers: {
'facebook-oauth2': {
apiKey: '865549306850377',
scope: 'email',
//redirectUri: window.document.location.href
redirectUr
浏览 1提问于2015-01-13得票数 1
我正在尝试为我的项目使用Microsoft translator API。问题是我无法获得用于转换的访问令牌。我使用POST方法从JavaScript发出以下请求。
"**https://datamarket.accesscontrol.windows.net/v2/OAuth2-13?client_id='ID'&client_secret='secretKey'&scope='http://api.microsofttranslator.com'&grant_type='client_credentia
浏览 1提问于2013-03-06得票数 1
这不是一个具体的编码问题，但更多的是一个最佳实践的建议，一个新的进入网络应用世界的经验，在五九电信软件开发。
我有一个ASP.NET web应用程序，它可以从多个嵌入式(Arduino)设备收集数据。设备通过简单的HTTP请求周期性地推送数据。在正常情况下，每个设备每30秒推送一次数据。但是，有可能会丢失设备或丢失从设备到服务器的连接。我需要在2-3个正常的数据报告周期内检测到这种情况.
如果它是一个典型的独立的C#应用程序，那么每次我从一个设备接收数据时，我都会启动一个计时器，并将过期时间设置为最大超时时间。如果计时器过期，这意味着我已经很长时间没有从设备上听到消息了，我需要从我的应用程序中
浏览 4提问于2014-07-27得票数 1
我现在正在创建一个移动应用程序，它的后端是Flutter + Django。我计划在中使用Firebase身份验证，据我所知，登录/注销信息的用户将在Firebase数据库中。
通知另一个后端(在本例中是Django)用户已登录的常见做法是什么？然后让用户访问应用程序中的某些功能？是使用来自FlutterFire的回调，然后使用从Firebase生成的令牌作为前端(Flutter)和后端(Django)之间的令牌吗？
谢谢
浏览 2提问于2021-08-04得票数 0
回答已采纳
1回答
我目前正在为朋友的足球队创建一个定制CMS。该体系结构如下：
在后端，我有一个与数据库(mongoDB)交互的API。
在前端，我有一个使用模板引擎把手为页面服务的特快服务器。
目前，我已经设法使用Passport和JWT对API的请求进行身份验证，这对于查询API是很好的，登录时我将在用户的cookie存储中存储一个具有权限的JWT(它是静态页面，而不是SPA，因此我无法访问本地/会话存储)。
我的问题是，我很难在客户端实现访问管理面板的授权。我应该在客户端上解码JWT并读取用户角色，然后如果用户是管理员，则为管理页服务，还是应该发送每个请求访问API前端的管理部分以进行验证检查，然后提供文
浏览 2提问于2017-05-10得票数 0
回答已采纳
我有一个网络应用程序，是从一个公开的Facebook页面上获取最新的帖子，并将其与帖子的背景图像一起显示。它可以在本地托管，但access_token在Chrome开发者工具中展示了它的全部光彩。这当然是不好的做法，我正在寻找安全地从服务器/外部服务请求access_token的方法。
该应用程序的要点是能够从facebook页面获取信息，而不需要从客户端请求用户登录。到目前为止，我知道它需要一个管理员access_token才能获取信息，但也许我错了？有没有一种更简单的方法可以直接从facebook公共页面上获取最新的帖子信息？我不完全理解为什么Facebook需要管理员令牌来获取公开的信息
浏览 12提问于2016-11-13得票数 0
我正在创建一个有独立的Laravel后端的角度应用程序。我想要用户注册，特别是用户注册。
我得到以下错误：
来自前端应用程序的错误：
请求的资源上没有“访问-控制-允许-原产地”标题。
尝试从DHC：创建新用户时出现错误
端点：
my_apps_api.localhost/api/auth/register
邮寄数据：
{
"username" : "myusername"
"password" : "12345"
}
TokenMismatchException in VerifyCsrfToken.php
浏览 1提问于2015-10-17得票数 2
4回答
我的域名：
<!DOCTYPE html>
<html>
<head>
<title>scrape</title>
<script src="http://code.jquery.com/jquery-1.7.1.min.js"></script>
</head>
<body>
<script>
$.ajax({url:'http://their-domain.com/index.html',
dat
浏览 0提问于2012-01-21得票数 2
1回答
在浏览器中存储令牌
、、、、
问题=]
根据我的研究，将web令牌存储在本地存储中似乎是比使用cookies更好的方法，以防止CSRF攻击(我知道本地存储容易受到XSS攻击，尽管这些攻击似乎比CSRF更容易预防)。尽管如此，我一直无法找到任何相关的指南，利用当地的存储方式.
我在寻求一些帮助来理解下面的工作方式.
向浏览器本地存储传递服务器签名令牌的首选方法/工作流是什么？
一旦浏览器存储了令牌，我如何使用存储的令牌。
我是否需要通过JS停止表单的默认提交，然后通过每个请求发送带有authorization: Bearer <token>头的AJAX请求？
当用户单击指向该用户拥有的资源的
浏览 2提问于2017-05-19得票数 3
回答已采纳
1回答
我想要实现一个HTML/JS前端为谷歌驱动器上传文件到我自己的数据库在我的软件项目。我的后端将用Java编写。
问题是：通过Google的OAuth2进行用户登录过程的可行设计是什么？
我想让用户点击前面的链接“登录到谷歌驱动器”，JS向我的java后端发送一个请求，它通过生成OAuth2 url。现在，URL被发送回浏览器，打开一个新窗口，允许用户登录到google，google将访问代码返回给浏览器(或者我的java webservice?)。
我不是一个经验丰富的软件开发人员，我想问一下您将如何设计/处理这个登录过程。登录后，我将使用令牌列出所有文件，并在浏览器中显示它们，等等。
我正在
浏览 0提问于2012-09-24得票数 2
1回答
我有一组由oauth 2保护的REST app，我需要从Android应用程序和set应用程序中访问它们。
从android应用程序访问API对我来说似乎是非常直接的实现。我在这里无法理解的是-从way应用程序访问相同的API的正确和安全的方法是什么？
我在想，我不应该使用某些JS库从浏览器直接调用API，因为在我看来，它是非常不安全的。相反，我应该保持所有的传统，通过向web服务器提交请求，然后让它进行REST调用。这类似于从Android发出REST调用的方法。
我的想法/方法正确吗？
浏览 5提问于2015-10-11得票数 1
回答已采纳
1回答
我正在学习使用JSON令牌进行基于令牌的身份验证，下面是我对一个移动应用程序(例如Swift)的看法：
我可以使用用户输入在应用程序中创建一个对象，如
{用户名："patrickbateman"，密码："ismyknifesharp"，角色：“正则”，.}
然后，我可以使用从它生成一个JWT令牌。
然后，我将其发送到支持的API端点，如/api/contacts/list。还是我必须发送登录/密码作为他们要认证？
服务器以某种方式检查令牌的正确性。但是怎么做呢？是否应该将服务器生成的令牌保存在数据库中并用作密钥？或者，每次收到客户端的请求并将其与
浏览 2提问于2015-11-11得票数 7
1回答
我正在用React、msal-react和msal-browser做一个项目。 我可以通过msal-react库提供的函数获取访问令牌，但无法手动获取刷新令牌。 我可以从网络中看到，当用户通过重定向登录时，会执行令牌请求，并且显然会同时返回令牌和刷新令牌。但是，刷新令牌受到很好的保护，无法在cookie、会话存储或实例中找到。 前台有没有可能拿到azure广告的刷新token？ 对不起，由于安全要求，我无法发布我的代码
浏览 13提问于2021-06-18得票数 0
1回答
我们在通过API对oidc用户进行登录时面临着这个问题。当我们从UI执行相同的活动时，我们调用的API与UI调用的API相同。
/c/oidc/船上
Api总是抛出csrf错误。其他APis运行良好。在api调用中，我们在basic中使用管理凭证。入职后，将有另一个应用程序，将使用访问令牌的星载用户。但我们被困在船上了。
浏览 7提问于2022-06-06得票数 0
2回答
我正在处理用户在使用web应用程序后没有显式注销的问题，这对于用例来说是不够安全的。这是一款带有AWS Amplify和Cognito的React应用程序。 为此，我计划跟踪数据库中的会话(我可以使用Go on PostAuthentication_Authentication或TokenGeneration_RefreshTokens events中编写的Cognito Lambda触发器捕获会话的开始或刷新)，并在一段时间不活动后使用GlobalSignOut使会话过期，但是为了在会话放弃时使用户刷新令牌无效，我需要访问令牌，它似乎只对客户端可用。 我可以在登录时从web客户端显式地获取
浏览 42提问于2020-07-22得票数 2
1回答
我有一个REST端点，它是与一个JSON对象(用户)一起提交的，我只是将相应的mongo记录设置为那个JSON对象。这就省去了更新服务方法和端点中的模式更改的麻烦，只剩下Mongoose模型要更新了。
如果有的话，有什么更安全的方法来做到这一点呢？
示例用户JSON
{
'fname': 'Bill',
'lname': 'Williams',
'email': 'bill@billwilliams.com',
'settings': {
'strok
浏览 1提问于2015-11-02得票数 0
很抱歉，如果有人问了几次，但都找不到确切的答复。
我想保护HTML5应用程序和PHP服务之间的登录过程和会话(某种程度上)。我向用户提供一个登录屏幕，在服务器上使用HTTPS，然后为客户端提供一个随机GUID，该GUID存储在数据库中，其中包含他们的登录时间和最后请求时间，以及我在user表中为他们的行存储的实际用户ID。因此，GUID每次都可能有所不同，但是它在登录时映射到的用户ID只能在服务器端看到。
当涉及到身份验证时，我感到很疲倦，而且从来没有真正针对这样的web服务处理HTML5 5/JS应用程序。我通常开发ASP .NET站点并使用会话。
我最近发现了JWT令牌，它加密包含在客户机
浏览 3提问于2017-01-28得票数 1
回答已采纳
2回答
我正在做一个完整的堆栈项目，用户可以创建帐户，访问他们的个人资料，创建博客，阅读他们的博客，删除他们的博客等等。为了执行所有这些任务(除了注册和登录)，用户必须经过身份验证。
我已经结束了后端，但我不知道如何从客户端向服务器端发送jsonwebtoken (我知道如何从服务器端发送它)。我知道如何从服务器获取令牌，并将其存储在浏览器的locaStorage中，但当我请求阅读博客、删除博客或在阅读完所有博客后访问我的配置文件时，我不知道如何将它们发送回服务器。
如果我这么做-
window.location.href = "/blogs"；
然后，我将无法发送身份验证令牌，或者应
浏览 1提问于2019-09-08得票数 0
回答已采纳
我是个新手。尝试在react应用程序中使用Express.js实现身份验证。我已经用HttpOnly标志在后端设置了令牌来响应cookie，但是无法在前端读取它(React)。我已经读过几本cookies教程，我知道如果它是HttpOnly，它在Javascript中是不可读的。
我想在React应用程序上创建cookie，但它们将是非HttpOnly，这将使我的网站变得脆弱。使用访问令牌在React应用程序中实现身份验证的最佳方法是什么？
我已经使用最大年龄、安全和域设置了cookie，但是无法在React应用程序中访问带有HttpOnly标志的cookie，并且在React应用程序中设置c
浏览 2提问于2019-10-30得票数 0
回答已采纳
2回答
以下身份验证系统是否合理：
客户端使用用户名和密码将登录端点调用到主服务器。主服务器将其发送到另一个身份验证服务器(不会再被提及)，如果这是有效的，则返回是/否，并返回主服务器知道的用户ID。如果是的话，生成一个随机令牌(使用一些释放随机字符串的密码库)，并将其哈希(使用password_hash())存储在用户记录上。将令牌返回给客户端。
客户端现在将“授权:令牌TOKEN+HERE+ABCD1234”添加到其他端点的请求中。服务器确保auth报头中令牌的散列与数据库中的标记(通过PHP的password_verify()使用盐类)匹配，并且没有命中到期日期。如果它不匹配，或者超过了
浏览 4提问于2015-06-16得票数 3
回答已采纳
我在获取刷新令牌时遇到困难。由于某些原因，Graph API似乎无法识别我的offline_access作用域。下面是我的PHP代码：
$oauthClient = new \League\OAuth2\Client\Provider\GenericProvider([
'clientId' => "id",
'clientSecret' => "secret",
'redirectUri' => "r
浏览 18提问于2019-07-19得票数 2
1回答
我的应用程序在客户端使用Facebook授权，对于授权用户应用程序从Facebook获取访问令牌，使用带签名请求的facebook并提供code，并将其存储到数据库中。
一切正常，但我想知道什么时候应该刷新存储的访问令牌？如果用户更改了密码，并再次登录/连接，怎么办？
据我所知，她现在有了新的访问令牌，应用程序应该从Facebook加载它。但是我怎么能理解什么时候我应该检查一个新的令牌呢？使用facebook检查每个请求不起作用，因为每个用户每秒的请求很少(如果她不更改密码的话)。还是我做错了什么？
我是说：
我已经授权客户端的用户
我有签了名的请求
签名的请求足以授权服务器端的用
浏览 2提问于2012-05-14得票数 1
回答已采纳
2回答
问题是
我有一项将内容推送给用户的服务。为了向用户提供这些内容，客户将在他们的站点上包含一个脚本。他们的脚本向我的服务器发送一个令牌，以识别它是哪个客户，但问题是:如果有人从用户的站点复制脚本，他们可以接收这个实时内容，并且客户是为不在他们网站上的用户收费的。那么，是否有办法确保脚本只包含在他们的网站上？谷歌分析是如何做到这一点的？
我有个主意，但我不知道这是否完全安全。
客户告诉我任何域(包括子域)，他们想要包括我的脚本。
我给用户一个非常小的文本文件，他们存储在他们的服务器上。
加载脚本后，它将检查window.location.host，并尝试从宿主域的根获取文本文件。
浏览 2提问于2012-09-17得票数 2
回答已采纳
1回答
我正在努力增强一个现有的GWT项目，我正在使用PING添加身份验证。
以下是流程：
用户输入应用程序URL
我想使用servlet过滤器过滤所有URL并检查URL中的代码参数，如果我在URL中没有看到代码参数，我希望将它们重定向到PING身份验证URL。
一旦PING验证了它，它就会重定向到。
需要这个“代码”才能获得与用户有关的JwT令牌。
我在下面添加一个过滤器：
public void doFilter(final ServletRequest request, final ServletResponse response, final FilterChain
浏览 1提问于2017-04-12得票数 1
我在一个Android应用程序中使用谷歌语音API。自述声明：In this sample, we load the credential from a JSON file stored in a raw resource folder of this client app. You should never do this in your app. Instead, store the file in your server and obtain an access token from there.
是否有关于如何正确获取生产应用程序的访问令牌的示例？
从我收集到的信息来看，我似乎可以使用
浏览 4提问于2017-03-30得票数 2
回答已采纳
1回答
我正在开发一个使用离子框架的移动应用程序，视频必须直接上传到youtube频道，为了实现这一点，我需要一个访问令牌，我从生成访问令牌，并嵌入代码中，它工作得很好。但是访问令牌将在一小时内过期，因此如何在一个小时后从我的移动应用程序中通过java脚本检索访问令牌。
任何帮助都将不胜感激！
浏览 7提问于2015-11-20得票数 0
回答已采纳
在搜索完的问题后，提出了关于的问题，并使用条纹对卡进行了充电。大多数问题都是尚未回答的问题，也无法找到收取费用的方法。
这里，我在我的项目中所做的：，我能够成功地从stripe服务器获得令牌。
try {
carToSave = mCardInputWidget.getCard();
Log.d(TAG, carToSave.toString());
if (carToSave == null) {
Toast.makeText(this, "Please fill information", To
浏览 5提问于2017-11-27得票数 1
当我执行get请求将我的内容发送到watson令牌分析器api以获取音调分析json时，它返回一个401‘无访问控制-允许-原产地’错误。我在客户端用javascript做这件事。
是否可以使用客户端的get请求查询音调分析器api？
我正在做的事情是：
$.ajax({
url:'https://gateway.watsonplatform.net/tone-analyzer/api/v3/tone?version=2016-05-19&text='+encodeURI(input),
data:{
'username'
浏览 1提问于2016-10-25得票数 1
回答已采纳
我有一个棱角分明的单页应用程序，用户可以创建一个工作列表。我想控制用户是否可以编辑职务列表。有两个角色可以编辑职务列表。可以编辑自己的职务列表的经过身份验证的用户或可以编辑所有职务列表的管理员。
服务器将测试用户是否有权访问这些操作。这不是问题。但是，在客户端应用程序状态更改之前，我希望向服务器发出请求，以检查当前登录用户是否具有权限。因此，请求将检查用户是否可以使用#id 9de88893编辑作业列表。
那条路线是什么样子的。它只返回真假吗？我甚至无法想象这会是什么样子或者会是怎样的结果。有什么想法吗？
浏览 4提问于2016-08-18得票数 0
2回答
我想从中对JWT令牌和CSRF产生疑问，这说明了在localStorage或cookies中存储JWT的优点和缺点。
..。如果您正在使用JS从cookie中读取值，这意味着您不能在cookie上设置Httponly标志，所以现在站点上的任何JS都可以读取它，从而使其与在localStorage中存储某些东西的安全性级别完全相同。
我试图理解为什么他们建议将xsrfToken添加到JWT中。在cookie中存储JWT，然后提取JWT，然后将JWT放在HTTP报头中，并基于HTTP报头对请求进行身份验证，这样会完成与角的XSRF令牌相同的任务吗？如果您基于标头中的JWT进行身份验证，则没有其他
浏览 4提问于2016-01-26得票数 7
我有一个javascript变量，我想把它传递回服务器端，然后我打算使用它作为访问令牌来授予用户对其他需要此令牌的页面的访问权限。
我想知道如何将这个javascript变量传回服务器，这样我就可以将它设置为会话变量了？我需要使用ajax将其发回吗？
--这是我用来从服务器检索令牌的jQuery的一部分
$(document).ready(function () {
$('#loginForm').submit(function(e) {
var blargh = $(this).find('input').seriali
浏览 3提问于2012-07-05得票数 0
回答已采纳
我计划写一个Android应用程序来获取文件从谷歌驱动器。
如果存储量很大，下载文件肯定需要几个小时。在这种情况下，我需要刷新令牌来完成这个过程。据我所知，GoogleAccountCredential没有提供任何方法来获取刷新令牌。
我希望将令牌和刷新令牌发送到will服务，以便它将代表我的应用程序下载文件并将其存储在服务器中。
有没有办法从GoogleAccountCredential获取刷新令牌
浏览 1提问于2013-03-04得票数 6
微软在web API方面的专业人士的帮助是必要的！
有很多我写的web API。它已经成功地应用于移动设备上。
我通过类restsharp在设备上使用API。有了它，一切都很好。但有以下任务。
我想做一个网站，通过它将有可能被授权使用登录和密码，数据是在web API中使用。
怎样才能做得更好？也要通过restsharp？这是必要的会议！为我的英语道歉！
浏览 1提问于2014-04-23得票数 0
3回答
我试图了解令牌系统如何在Web和角JS之间工作，以达到身份验证的目的。如果我错了，请纠正我。令牌存储在数据库表中，并在客户端应用程序上手动添加令牌，以配合我们从客户端发出的每个请求。谢谢。
浏览 6提问于2017-10-24得票数 1
回答已采纳
1回答
我注意到，当使用django时，当你发出post请求时，例如使用一个表单，django会要求你添加csrf令牌，但是当我使用react从django rest框架创建的api中获取数据时，我意识到当我没有发送csrf令牌时，应用程序没有任何错误。
在这个应用中，我正在使用knox的令牌认证，我已经看到了一些关于如何使用csrf令牌进行会话认证的帖子。
我的问题是令牌身份验证是否不需要csrf令牌，或者它们是由react自动传递的吗？提前谢谢。
浏览 4提问于2021-02-18得票数 0
我有一个从ThinkTecture Identity Server提供的Saml2Security令牌，但是在服务器端创建HttpWebRequest时，我永远无法弄清楚如何使用这个令牌。
有谁可以帮我？
浏览 2提问于2014-06-26得票数 0
我正在实现一个Spring应用程序，在这个应用程序中，方法调用第三方REST端点。在OAuth2身份验证之后，可以访问此REST。这就是为什么我从第三方检索令牌(不同的用户可以使用我的应用程序，并尊重地调用其余的端点)并使用这些令牌进行授权，以便调用端点。但是在当前的实现中，这发生在每次调用之前。这就是为什么我想征求意见，如何缓存这些令牌，以及这是否是一个好的实践。同样，令牌将在1小时内过期。
浏览 6提问于2019-09-26得票数 7
1回答
我正在考虑一种实现刷新令牌的适当模式，但在几个步骤中，我有一些问题。我使用的是，前端是，后端是。下面是我正在考虑的步骤：
客户端发送登录请求。登录后，我将访问令牌放在会话对象中，并将刷新令牌放入res.cookie中，这两者都是安全的和httpOnly的。
// for simplicity options are left out
req.session = { accessToken };
res.cookie("refreshToken", refreshToken)
对于每个带有axios的请求，我只提供访问令牌。这是第一个问题产生的地方。如
浏览 2提问于2021-07-26得票数 0
回答已采纳
1回答
我正在尝试创建一个web应用程序，它将有一个组件从Twitter中检索第三方数据。假设我已经在Twitter上注册了我的应用程序，并且有了一个令牌：
是否将令牌存储在服务器端代码(后端使用Node / Express )的首选位置？另一种方法是将其存储在我的客户端代码中，但这似乎非常危险，因为每个人都可以检查我的代码。
假设我确实将令牌存储在服务器端，这是否意味着如果我想对第三方API (即Twitter)进行AJAX调用，请求的流程将从客户端到服务器，然后从服务器到第三方web服务？
如果上述情况是准确的，那么我的服务器端代码是否必须包含一些异步回调/承诺逻辑，这样一旦数据从第三
浏览 3提问于2014-12-28得票数 0
回答已采纳
我有一个Api项目，因为我有两个不同的控制器：
一个控制器是一个System.Web.Mvc控制器：
公共类HomeController :控制器
在此，我定义了如下所示的请求：
变量请求= System.Web.HttpContext.Current.Request；request.Headers.Add(“令牌”、“测试”)；
另一个控制器是Api控制器：
公共类CalendarController : ApiController {私有字符串_accessToken；
公共CalendarController() { IEnumerable accessTokenValues；
浏览 3提问于2015-12-08得票数 1
1回答
我目前正在与目标C开发人员一起开发一个移动应用程序。由于移动设备的性质及其工作方式，所有数据都是通过我创建的API检索的。
例如，如果用户试图在页面上查找与应用程序有关的特定操作(可能是搜索)，则应用程序将发出请求：
如果这些呼叫是通过应用程序从移动设备发出的，我知道它们是合法的请求(无论如何，我将其归类为合法请求)。如果他们是从别的地方来的，我真的需要阻止这一切。例如，另一个开发人员可以复制完全相同的应用程序，并使用我在服务器上构建的API，而我所知道的任何方法都无法阻止他们这样做。
有办法保护API吗?如何阻止API在应用程序之外被访问？
浏览 3提问于2013-12-22得票数 0
回答已采纳
我正在尝试使用以下请求向facebook进行身份验证：
https://www.facebook.com/dialog/oauth?client_id=MYAPPID&redirect_uri=http://localhost:3000/oauth/callback.html&scope=email
响应如下：
http://localhost:3000/oauth/callback.html?code=AQA6VzXu_In9_GIiqu-GFEo6d8sA4jM5L6rLQWtL9g2aMo2Ju5h9j_uCcqR-w7cYifyi0IYsOHtOk5S_jKBBlgQa
浏览 0提问于2011-11-23得票数 1
回答已采纳
在django网站上，声明：
The CSRF protection is based on the following things:
1. A CSRF cookie that is set to a random value (a session independent nonce, as it is called), which other sites will not have access to.
2. ...
然后，它还声明可以通过javascript从cookie获得csrf令牌：
var csrftoken = $.cookie('csrftoken');
浏览 6提问于2013-07-30得票数 5
回答已采纳
我尝试过auth0，但遇到了一个无法阻止或强制注销用户的问题。 在我从auth0控制台阻止了一个用户之后，登录的用户仍然可以访问路由。 我使用了express-openid-connect中间件和requiresAuth() 我想这是基于JWT的服务的常见问题吧？对于这些用例，我是否应该实现一个statefull会话来管理用户？
浏览 20提问于2021-06-26得票数 0
回答已采纳
1回答
我正在尝试使用Disqus OAuth2身份验证。我就是这样做的：
1:创建一个disqus应用程序，并将http://myweb/login设置为域textarea中的回调uri和myweb (域链接到您的公钥(用于查询检查))。
2:试图使XHR从disqus.com/api/oauth/2.0/authorize上从http://myweb/somepage获得请求。出现CORS错误。
我打电话解决了这个问题
window.open("https://disqus.com/api/oauth/2.0/authorize/?
client_id="+id+"&
浏览 8提问于2014-03-29得票数 0
回答已采纳
1回答
我已经实现了一个应用程序，应该允许一个设备一个帐户，我将把uniqueId传递给Web与用户帐户行一起保存在SQL数据库中。此验证在Splash和身份验证屏幕上进行。流动情况如下：
逻辑流：
装置1：
Splash屏幕:从AsyncStorage检索值。如果没有，则继续进行身份验证。如果有值，请转到#3填充用户名和密码，然后单击Login。应用程序将与web、userName、加密密码和从DeviceInfo模块检索的uniqueId一起获取。如果SQL中的uniqueId列为空，则更新该列。如果有价值，与uniqueId参数进行比较。条件:匹配-返回确定，而不是匹配-返回多个登录警报，因为
浏览 4提问于2020-06-12得票数 2
我已经搜索了几天，但我似乎找不到一个简单的指南来指导如何在AAD应用程序和我在应用程序服务中设置的AAD Web API之间设置授权(AuthZ)。我已经尝试过像this official guide这样的东西，但我似乎无法从客户端应用程序中获得带有不记名令牌的呼叫。 有人成功地做到了这一点吗？有没有一步一步的指南可以帮助你呢？ 如果有任何问题，请告诉我！
浏览 20提问于2020-04-03得票数 0
回答已采纳
我有一个使用mvc4编写的移动web应用程序，我正在使用它通过贝宝进行支付，基本上，我连接到我们的服务器上托管的web应用程序，然后我登录，这实际上登录到一个服务器举行的工作场所，返回用户名，余额等，我存储到一个模型，这很好，我可以通过所有的视图，直到应用程序重定向到贝宝，我完成了快速结账，一切都很好，但当我返回到我的应用程序，我想显示用户名，存款和新的余额，在这一点上，我还必须使用用户名等在服务器中存储金额，但无法这样做，因为当模型定向离开时，我会丢失它?/
有没有办法使用cookie或会话等来控制这些变量？这是我的最后一点，所以任何建议都将非常感谢。
谢谢
浏览 4提问于2013-04-26得票数 0
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM活动推荐
腾讯云开发者
