浏览器中存储访问令牌的最佳实践

浏览器提供了各种持久化数据的解决方案。当存储令牌时，您应该权衡存储选择与安全风险。

译自best practices for storing access tokens in the browser。web应用程序不是静态站点，而是静态内容和动态内容的精心组合。 更常见的是，web应用程序逻辑在浏览器中运行。 与从服务器获取所有内容不同，应用程序在浏览器中运行j**ascript，从后端api获取数据，并相应地更新web应用程序呈现。

为了保护数据访问，组织应该采用oauth 2.0。 通过oauth 2.0，j**ascript应用程序需要在对api的每个请求中添加访问令牌。 出于可用性原因，j**ascript应用程序通常不会按需请求访问令牌，而是存储它。 问题是，如何在j**ascript中获取这样的访问令牌？当您获取一个令牌时，应用程序应该在**存储令牌，以便在需要时将其添加到请求中？

本文讨论了浏览器中可用的各种存储解决方案，并突出了与每种选择相关的安全风险。 在审查威胁之后，它描述了一种解决方案，以提供最佳的浏览器安全选项，用于必须与oauth保护的api集成的j**ascript应用程序。获取访问令牌在应用程序可以存储访问令牌之前，它需要先获取一个令牌。当前的最佳实践建议通过“授权码流”这一方式来获取访问令牌： 授权码流是一个两步流程，首先从用户那里收集一个授权许可——授权码，然后应用程序在后台通道中用授权码交换访问令牌。这个请求称为令牌请求，例子如下：

const accesstoken = await fetch(oauthservertokenendpoint, )server responds with json object.then (response =>response.json())then (tokenresponse =>else handle error response}).catch( /handle network error)

跨站脚本(xss)跨站脚本(xss)漏洞允许攻击者将恶意的客户端**注入到一个本来受信任的**中。例如，如果用户输入生成的输出没有被适当清理，web应用程序的任何地方都可能存在漏洞。浏览器会自动在受信任的**的上下文中运行恶意**。xss攻击可用于窃取访问令牌和刷新令牌，或执行csrf攻击。不过，xss攻击有一个时间窗口，因为它们只能在有限的时间段内运行，如令牌的有效期内，或者打开的选项卡存在漏洞的时长。

即使在xss无法用于检索访问令牌的情况下，攻击者也可以利用xss漏洞通过会话骑乘向有保护的web端点发送经过身份验证的请求。然后，攻击者可以伪装成用户，调用用户可以调用的任何后端端点，并造成严重损害。

浏览器中的存储解决方案应用程序收到访问令牌后，需要存储该令牌以在api请求中使用它。浏览器中有多种方法可以持久化数据。应用程序可以使用专用api(如web存储api或indexeddb)来存储令牌。应用程序也可以简单地将令牌保存在内存中或将其放在cookie中。一些存储机制是持久的，另一些在一段时间后或页面关闭或刷新后会被清除。

一些解决方案跨选项卡共享数据，而其他解决方案仅限于当前选项卡。但是，本指南中介绍的大多数方法都针对每个源存储数据。因此，对于任何相关讨论来说，理解一些概念很有帮助：origin和site。

某个(web)资源的origin是其url的scheme、hostname和port。例如，和具有相同的origin，因为它们共享scheme(https)、hostname(example.com)和端口(默认端口)。它们的origin为，与或不同，因为它们在端口和主机名上有所不同。

相比之下，一个site比资源的origin要大。一个站点是为一组资源提供服务的web应用程序的通用名称。简单地说，一个站点是scheme和domain name，如。虽然和有不同的origin(不同的主机名和端口)，但它们是相同的站点，因为它们托管在同一个域名(example.com)上并使用相同的scheme(https)。(从技术上讲，这个定义还有细微差别，但这个简化的说法有助于解释这个概念)。本地存储本地存储是通过web存储api中的全局localstorage对象以j**ascript访问的。本地存储中的数据在浏览器选项卡和会话之间可用，也就是说它不会过期或在浏览器关闭时被删除。因此，通过localstorage存储的数据可以在应用程序的所有选项卡中访问。因此，在本地存储中存储令牌非常诱人。

// storing the access tokenlocalstorage.setitem("token", accesstoken);/loading the access tokenlet accesstoken = localstorage.getitem("token");

如果您在本地存储中使用access token，并且攻击者设法在您的应用程序中运行外部j**ascript**，那么攻击者可以窃取任何令牌并直接调用api。此外，xss还允许攻击者操作应用程序中的本地存储数据，这意味着攻击者可以更改令牌。

请注意，本地存储中的数据会永久存储，这意味着存储在其中的任何令牌会驻留在用户的设备(笔记本电脑、电脑、手机或其他设备)的文件系统上，即使浏览器关闭后也可以被其他应用程序访问。因此，在使用localstorage时，请考虑终端安全性。考虑并防止浏览器之外的攻击向量，如恶意软件、被盗设备或磁盘。

根据上述讨论，请遵循以下建议：

不要在本地存储中存储敏感数据，如令牌。

不要信任本地存储中的数据(尤其是用于认证和授权的数据)。

会话存储会话存储是web存储api提供的另一种存储机制。与本地存储不同，使用sessionstorage对象存储的数据在选项卡或浏览器关闭时会被清除。此外，session存储中的数据在其他选项卡中不可访问。只有当前选项卡和origin中的j**ascript**可以使用相同的会话存储进行读取和写入。

// storing the access tokensessionstorage.setitem("token", accesstoken);/loading the access tokenlet accesstoken = sessionstorage.getitem("token");

在实践中，使用sessionstorage存储令牌的主要安全问题是xss。如果您的应用程序容易受到xss攻击，攻击者可以从存储中提取令牌并在api调用中重放它。因此，会话存储不适合存储敏感数据，如令牌。

indexeddbindexeddb是索引数据库api的缩写。它是一个用于在浏览器中异步存储大量数据的api。但是，在存储令牌时，这个浏览器api提供的功能和容量通常不是必需的。由于应用程序在每次api调用中都发送令牌，最好是使令牌的大小最小化。

与迄今为止讨论的其他客户端存储机制一样，使用索引数据库api存储的数据访问受到同源策略的限制。只有相同**的资源和服务工作者才能访问数据。从安全角度来看，indexeddb与本地存储相当：

令牌可能会通过文件系统泄露。

令牌可能会通过xss攻击泄露。

因此，不要在indexeddb中存储访问令牌或其他敏感数据。indexeddb更适合用于应用程序脱机工作所需的数据，如图像。

内存存储令牌的一个相当安全的方法是将其保存在内存中。与其他方法相比，令牌不存储在文件系统中，从而减轻了与设备文件系统相关的风险。

最佳实践建议在内存中存储令牌时将其保存在闭包中。例如，您可以定义一个单独的方法来使用令牌调用api。它不会向主应用程序(主线程)透露令牌。下面的摘录显示了如何在j**ascript中使用内存处理令牌的示例。

function protectedcalls(tokenresponse) const apiclient = protectedcalls(tokenresponse);/call protected apiapiclient.getorders();

除了与潜在的xss漏洞相关的安全问题外，在内存中保持令牌的最大缺点是页面重载时令牌会丢失。然后，应用程序必须获取一个新令牌，这可能会触发新的用户身份验证。安全的设计应考虑到用户体验。

使用服务工作者的体系结构通过在独立的线程中运行令牌处理功能来减轻可用性问题，该线程与主网页分离。服务工作者实际上充当应用程序、浏览器和网络之间的**。因此，它们可以拦截请求和响应，例如缓存数据和启用离线访问，或者获取和添加令牌。

在使用j**ascript闭包或服务工作者处理令牌和api请求时，xss攻击可能会针对oauth流程，如**流或静默流来获取令牌。它们可以取消注册并绕过任何服务工作者，或者使用原型污染“实时读取令牌”通过覆盖诸如window.fetch之类的方法。因此，请出于方便而不是安全性考虑j**ascript闭包和服务工作者。

cookiecookie是存储在浏览器中的数据片段。由设计，浏览器会将cookie添加到对服务器的每个请求中。因此，应用程序必须谨慎使用cookie。如果未经仔细配置，浏览器可能会在跨站请求时追加cookie，并允许跨站请求伪造(csrf)攻击。

cookie具有控制其安全属性的属性。例如，samesite属性可以帮助缓解csrf攻击的风险。当一个cookie的samesite属性设置为strict时，浏览器只会将其添加到源自并目标与cookie的源站点相同的请求中。当请求嵌入在任何第三方**中时，浏览器不会添加cookie，例如通过链接。

您可以通过j**ascript设置和检索cookie。但是，当使用j**ascript读取cookie时，应用程序会变得容易受到xss攻击(除了csrf之外)。因此，首选的选择是让后端组件设置cookie并将其标记为httponly。该标志可以缓解通过xss攻击泄露数据的问题，因为它指示浏览器cookie不能通过j**ascript访问。

为防止cookie通过中间人攻击泄露，这可能导致会话劫持，cookie应仅通过加密连接(https)发送。要指示浏览器仅在https请求中发送cookie，必须将secure属性设置为cookie。

set-cookie:token=myvalue;samesite=strict;secure;httponly

威胁矩阵下表总结了浏览器中存储解决方案的威胁评估，主要威胁向量标记为红色。橙色威胁需要除web技术之外的缓解措施。绿色威胁已经或可以通过适当的设置成功消除。

无**击者何时设法窃取令牌，只要令牌有效，他们就可以独立于用户和应用程序使用访问令牌。如果攻击者设法窃取刷新令牌，他们可以显着延长攻击时间并增加损害，因为他们可以续新访问令牌。黑客甚至可以将攻击扩展到除j**ascript应用程序使用的api之外的其他api。例如，攻击者可以尝试重放访问令牌并利用不同api中的漏洞。

被盗的访问令牌可能会造成严重损害，xss仍然是web应用程序的主要问题。因此，避免在客户端**可以访问的地方存储访问令牌。相反，将访问令牌存储在cookie中。当使用适当的属性配置cookie时，浏览器泄露访问令牌的风险为零。然后，xss攻击与在同一站点上的会话劫持攻击相当。

使用cookie的oauth语义cookie仍然是传输令牌和充当api凭据的最佳选择，因为即使攻击者成功利用xss漏洞，也无法从cookie中检索访问令牌。但是，为了做到这一点，cookie必须适当配置。

首先，将cookie标记为httponly，以便它们不可通过j**ascript访问，以解决xss攻击的风险。另一个关键属性是secure标志，它确保cookie仅通过https发送，以减轻中间人攻击。

其次，颁发短暂的只在几分钟内有效的访问令牌。在最坏的情况下，具有最小有效期的访问令牌只能在可以接受的短时间内被滥用。通常认为15分钟的有效期是合适的。让cookie和令牌的过期时间大致相同。

第三，将令牌视为敏感数据。只在cookie中存储加密令牌。如果攻击者设法获取加密令牌，他们将无法从中解析任何数据。攻击者也无法将加密的令牌重放到任何其他api，因为其他api无法解密令牌。加密令牌只是限制了被盗令牌的影响。

第四，在发送api凭据时要限制性强。只向需要api凭据的资源发送cookie。这意味着确保浏览器只在实际需要访问令牌的api调用中添加cookie。为此，cookie需要有适当的设置，比如samesite=strict、指向api端点域的域属性和路径。

最后，在使用刷新令牌时，请确保将它们存储在自己的cookie中。没有必要在每个api请求中都发送它们，所以请确保不是这种情况。刷新令牌必须只在刷新过期的访问令牌时添加。这意味着包含刷新令牌的cookie与包含访问令牌的cookie有稍微不同的设置。

令牌处理程序模式在j**ascript客户端中为oauth提供最佳实践原则的设计模式是令牌处理程序模式。它遵循oauth 2.0 for browser-based apps中描述的bff(backend for frontend)方法。该模式引入了一个后端组件，能够发出带有加密令牌和上述必要属性的cookie。后端组件的责任是：

作为oauth客户端与授权服务器交互，启动用户认证并获取令牌。

管理j**ascript应用程序的令牌，使其不可访问。

*和拦截所有api请求，以附加正确的访问令牌。

令牌处理程序模式定义了一个bff，它为在浏览器中运行的应用程序抽象了oauth。换句话说，令牌处理程序模式建议一个j**ascript应用程序可以用来认证用户并安全地调用api的api。为此，该模式使用cookie来存储和发送访问令牌。

令牌处理程序是一个后端组件，例如可以驻留在api网关中。它由两部分组成：

oauth**，它处理oauth流以从授权服务器获取令牌。

oauth**，它拦截对api的所有请求并将cookie转换为令牌。

oauth**获取令牌后，它会发出带有以下属性的cookie:

samesite=strict

httponly

secure

api的路径。

由于令牌处理程序是一个后端组件，所以oauth**是一个保密的客户端，可以向授权服务器进行身份验证(与公开的j**ascript客户端相比)。这意味着为了获得令牌，oauth**需要进行身份验证。因此，攻击者需要获取客户端凭据才能成功获取新令牌。在j**ascript中运行静默流而没有客户端凭据将失败。

为了令牌处理程序模式能够工作，j**ascript应用程序和令牌处理程序组件必须部署在同一站点上(换句话说，它们必须在同一域中运行)。否则，由于cookie上的同站限制，浏览器不会将令牌cookie添加到api请求中。

要获取数据，j**ascript应用程序只需通过oauth**调用api:

// call to oauth proxyconst response = await fetch(""

oauth**解密cookie并将令牌添加到上游api。cookie属性确保浏览器仅将cookie添加到https请求中，以确保它们在传输过程中是安全的。由于令牌是加密的，它们在休息时也是安全的。然后令牌用于安全访问api。

总结使用oauth和访问令牌可以最好地保护api访问。但是，j**ascript应用程序处于不利地位。浏览器中没有安全的令牌存储解决方案。所有可用的解决方案在某种程度上都容易受到xss攻击。因此，确保任何应用程序安全的首要任务应该是防止xss漏洞。

令牌处理程序模式通过在j**ascript无法访问的cookie中存储加密令牌来缓解xss风险。它将web关注点与api关注点分离，并提供指导，使用成熟的web技术加固j**ascript应用程序，而不会破坏web架构。查看令牌处理程序模式的详细描述，并探索各种示例。

360浏览器密码保存在哪里？

浏览器密码保存位置的概述。浏览器作为一款广泛使用的网络浏览器，其密码保存位置的设计也是为了方便用户的使用和保护用户的隐私。在浏览器中，用户的密码通常保存在一个加密的文件中，该文件位于浏览器的配置文件夹内。这种设计旨在确保用户密码的安全性，同时提供便捷的登录方式。下面将详细介绍浏览器的密码保存位置及如...

360浏览器 如何产看已保存的账号 密码？

浏览器是一款功能强大的浏览器，它可以帮助用户保存和管理各种 的账号和密码。如果您想查看已保存的账号和密码，您可以按照以下步骤操作 .打开浏览器，点击右上角的菜单按钮，选择 设置 选项 .在设置页面中，点击左侧的 隐私和安全 栏目，然后点击右侧的 密码管理 按钮 .在弹出的密码管理页面中，您可以看到所...

360浏览器怎么看保存的账号密码

浏览器查看保存的账号密码。浏览器作为一款广泛使用的浏览器，它能够自动保存用户输入的账号和密码，以方便用户快速登录 然而，有时候我们也会忘记这些保存的账号和密码，或者需要查看和管理这些信息。本文将介绍浏览器如何查看保存的账号密码。步骤 打开浏览器，点击右上角的 菜单 按钮，在弹出的菜单中选择 选项 步...