当我的angular应用程序中已经存在身份验证时，是否需要在web API中进行身份验证

Question

我正在构建一个有角度的应用程序。我正在检查用户的角色，然后在用户登录后进行身份验证。我在angular中使用web API。web API调用是否也需要对每个用户进行身份验证，或者是否仅为该url启用CORS？

Answer 1

是的，这是必要的，如果您有其他人无法访问的敏感用户数据，仅启用CORS是不够的。

有一些工具可以让你编辑你的请求并伪造来源。因此，如果您在API调用中没有身份验证方法，外部人员可以访问您的API，而无需通过伪造原点登录。关于这篇文章的更多信息：https://medium.com/netscape/hacking-it-out-when-cors-wont-let-you-be-great-35f6206cc646

这里引用其他帖子：

记住：CORS不是安全性。不要依赖CORS来保护您的网站。如果您正在提供受保护的数据，请使用cookie或OAuth令牌或原点标头以外的其他东西来保护该数据。CORS中的访问控制允许起源标头仅指示应允许哪些起源发出跨起源请求。不要再依赖它了。

也就是说，如果您必须在应用程序和服务器之间交换数据，那么每次登录后，您都必须以安全的方式对用户进行身份验证，而无需存储密码。为此，您可以使用会话或JWT（关于JWT的一个很好的指南如下：http://jasonwatmore.com/post/2018/05/23/angular-6-jwt-authentication-example-tutorial)