클라이언트 측 javascript로 서버 보안하기

Question

NodeJS 백엔드와 ReactJS 프론트 엔드로 실행되는 사이트가 있습니다. 모든 프론트 엔드 로직은 사용자의 브라우저에서 이루어지며, 프론트 엔드는 백엔드 경로를 통해 비즈니스 로직을 얻습니다. 현재, 우리는 패스포트로 사용자를 인증합니다. 하지만 사용자가 로그인하면 Postman과 같은 것을 사용하여 모든 백엔드 경로를 공격 할 수 있으며 그 중 많은 경로는 비공개이어야합니다. 관리자 나 플랫폼 만 백엔드 경로를 공격 할 수있는 좋은 방법이 있습니까? 나는 이것이 프론트 엔드 로직에 항상 주어진 일종의 관리자 특권을 필요로한다고 생각하지만, 최선의 관행이 있는지 궁금해하고 있었다.

Answer 1

불행히도 클라이언트에서 여권 (또는 다른 인증)을 수행 한 후에는 추가 신원을 확인하지 않고 서비스를 파헤 치기가 거의 불가능합니다.

이것은 앱 아치/디자인 영역에서 더 많으므로 잘만하면 리팩토링을 너무 멀리하지 않아도됩니다. 그렇지 않다면 나는 당신의 서비스를 추상화하여보다 세밀하게 보안을 유지할 것을 제안 할 것이다. 예 : 특정 개인/보안 비즈니스 로직을 호출하기 전에 신원을 확인할 수 있도록 서비스를 계층화하십시오. 이와 같은 프레임 워크는 다음과 같은 트릭을 수행 할 수 있습니다. http://loopback.io/