एपीआई टोकन एक फ्लक्स (रेडक्स) स्टोर के अंदर सुरक्षित हैं?

Question

क्या फ्लक्स (विशेष रूप से, रेडक्स) स्टोर में प्रमाणीकरण कॉल द्वारा लौटाए गए एपीआई टोकन को स्टोर करना सुरक्षित होगा? मैंने प्रोजेक्ट में सभी संपत्तियों को संकलित करने के लिए वेबपैक का उपयोग किया है, जिसका मेरा मानना ​​है कि दुकान को स्टोर पढ़ने और टोकन निकालने के लिए स्टोर को तीसरे पक्ष की स्क्रिप्ट से पहुंच से बाहर रखा गया है।

और, इसके लायक होने के लिए, टोकन को Authorization: bearer ... शीर्षलेख में HTTPS पर भेजा जाता है।

Answer 1

यदि पृष्ठ पर अविश्वसनीय तृतीय पक्ष स्क्रिप्ट चल रहे हैं, तो आपको यह मानना ​​चाहिए कि पृष्ठ की संपूर्ण अखंडता से समझौता नहीं किया गया है।

यदि केवल विश्वसनीय स्क्रिप्ट चल रही हैं, तो आप मान सकते हैं कि आपका टोकन सुरक्षित है, ब्राउज़र की सुरक्षा के अधीन और आपकी साइट XSS हमलों के विरुद्ध कितनी सुरक्षित है।

संपादित करें:

स्पष्ट करने के लिए, इस 3 पार्टी लिपियों से सुरक्षा है। यदि आप उपयोगकर्ता से अपने टोकन को छिपाने की कोशिश कर रहे हैं तो जवाब यह है कि यह हमेशा असुरक्षित होगा, इससे कोई फर्क नहीं पड़ता कि आप अपने कोड को कितना खराब कर देते हैं, क्योंकि उपयोगकर्ता की मशीन तक पहुंच है, तो अंततः उपयोगकर्ता तक इसका उपयोग कर सकता है (आप इसे और अधिक कठिन बना सकते हैं, लेकिन असंभव नहीं)।