如何为客户端dart应用程序构建安全的无状态身份验证系统
我正在为Dart前端构建一个无状态身份验证系统，并发现构建一个真正安全的无状态身份验证系统相当棘手。
该堆栈如下所示：Dart应用程序，它使用Jackson将JSON发布到Spring MVC后端，在JSON和Java对象之间来回转换。当SSL投入生产时，一切都将落后于SSL。
所以对于一个无状态的“会话”来说，HTML5 localstorage似乎是最方便的，但它并不安全。是否有一种方法来保护它，或者是否有一种替代的方法来允许我在浏览器中进行无状态身份验证？
共有1个答案
关于信息安全，我得到了一个相当不错的答案，建议使用带有HttpOnly和Secure标志的Cookie：
https://security.stackexchange.com/questions/84860/how-to-build-a-secure-stateless-authentication-system-for-a-client-side-javascri/84861#84861
我不得不切换到servlet3以允许设置HttpOnly标志：
Dart BrowserClient帖子不包括我的cookie
-
我已经实现了一个无状态服务器，它使用JWT让用户访问api。我关心的是安全问题。之前也有同样的问题，但没有得到很好的回答：JWT、无状态身份验证和安全性 问题：使用一些因素，如JWE（加密令牌）或使用强秘密来签署令牌 如果秘密钥匙被盗怎么办？然后，无论我们使用了多少安全层，黑客都可以使用密钥生成有效令牌并访问所有API。是否有任何解决方案使其更安全？
-
我已经浏览了很多帖子和文章，但没有找到一个简单的解决方案，下面我必须实现。 平台：Spring Boot 2。x、 嵌入Tomcat的x（Spring Security 5.x.x） 解决方案：使用许多客户端应用程序和许多最终用户的REST服务。 > 因此，我必须使用一次性令牌对上述应用程序进行身份验证。因此，我计划通过启用和来实现Spring OAuth2。对于每个应用程序客户端，我将生成一个令
-
我不熟悉SSL和证书。我一直在做关于客户端证书认证的研究。我看过这个和wiki。 因此，如果我必须为我的B2B REST服务实现客户端证书身份验证解决方案，我应该执行以下操作 要求客户端生成自己的私钥，并为其公钥生成证书（CA 颁发？）。通过电子邮件或 USB 闪存盘发送该证书。 在服务器端将客户端的公共证书导入信任存储区并启用客户端身份验证 在握手期间，客户端会出示其证书并进行身份验证，因为服务
-
授权服务器为进行客户端身份验证的目的，为Web应用客户端创建客户端凭据。授权服务器被鼓励考虑比客户端密码更强的客户端身份验证手段。Web应用程序客户端必须确保客户端密码和其他客户端凭据的机密性。 授权不得向本地应用程序或基于用户代理的应用客户端颁发客户端密码或其他客户端凭据用于客户端验证目的。授权服务器可以颁发客户端密码或其他凭据给专门的设备上特定安装的本地应用程序客户端。 当客户端身份验证不可用
-
在向令牌端点发起请求时，机密客户端或其他被颁发客户端凭据的客户端必须如2.3节所述与授权服务器进行身份验证。客户端身份验证用于： 实施刷新令牌和授权码到它们被颁发给的客户端的绑定。当授权码在不安全通道上向重定向端点传输时，或者 当重定向URI没有被完全注册时，客户端身份验证是关键的。 通过禁用客户端或者改变其凭据从被入侵的客户端恢复，从而防止攻击者滥用被盗的刷新令牌。改变单套客户端凭据显然快于撤销
-
如果客户端类型是机密的，客户端和授权服务器建立适合于授权服务器的安全性要求的客户端身份验证方法。授权服务器可以接受符合其安全要求的任何形式的客户端身份验证。 机密客户端通常颁发（或建立）一组客户端凭据用于与授权服务器进行身份验证（例如，密码、公/私钥对）。授权服务器可以与公共客户端建立客户端身份验证方法。然而，授权服务器不能依靠公共客户端身份验证达到识别客户端的目的。 客户端在每次请求中不能使用一