关于前端 token 安全问题

[BruceXHe]

前端：VUE

后台：.NET CORE REST API

现在我们后台的接口，需要 TOKEN，TOKEN 通过 clientId,clientKey 获取的（非用户输入用户名和密码），
目前只有把 clientId,clientKey 配置在 VUE 代码里用于获取 TOKEN，但是这样就不安全了。

请问大家有什么办法？

[rrfeng]

网络抓个包随便看……对于想要看的人来说毫无难度。

[DeepCold]

拉个 node 当中间层 做服务端渲染，就能避免暴露后端接口了，应该是最佳解决办法。

[sampeng]

问题应该是反扒，而不是只有你的 js 才能访问到。
说的最简单点，我要爬你的东西，先本地装个根证书，看你请求详情，然后直接拿这个去跑脚本…防小白就是直接 js 里面做点反扒的手段。

另外说一嘴，网络安全在于你数据对别人有没价值，而不是对你有没价值。商品详情而已，防爬攻防战咯。还一种蠢办法。生成的是图片不是文字。服务端吐出图片和文字混排的…我上次想爬时光网就发现他是这么干的…无语的不行。

了解一下 webassembly，直接二进制。破解难度应该远大于混淆过的 js 。绝大多数浏览器新版支持。

[icecreamxuegao]

哪怕 js 压缩混淆了，直接抓包不也能抓出来吗

[a728976009]

oauth2 有 implict 模式和 pkce 模式可以让前端在不知道 secret 的情况下拿 token，但看起来你的后端不是 oauth，所以建议改设计

[cyrbuzz]

用 Nuxt 在服务器端执行获取逻辑？

[jake361]

不让别人调用你们的接口？
有跨域问题你怕啥，你可以让后端只允许某个域名调用不就 ok 了

[jake361]

@kop1989 这个是正解... 只能是反爬上下功夫。