如何在浏览器响应头中隐藏基本授权凭证？

Question

我已经实现了用于 API 身份验证目的的基本授权。但是，当我在 API 访问中发送凭据时，这些凭据在授权标头中显示如下图所示。

那么，如何在此标头中隐藏我的凭据？

提前谢谢您。

Answer 1

使用 CORS 和 HTTPS：
您无法从控制台（开发人员工具）隐藏授权标头，但您可以通过应用 CORS 对您的网站应用严格的限制。 CORS 设置

allow_methods=[POST, GET], allow_origin="http://example.com", allow_headers=[AUTHORIZATION, Content/type, etc.]

cookie 设置必须设置为

HttpOnly

、

SameSite=Strict

、

SetSecure=true

，通过这些设置，您可以将 JWT 存储在 cookie 中（不需要在授权标头中）

如果您继续使用 AUTHORIZATION 标头，请确保您使用的是 HTTPS（为了数据安全）。

看起来很有趣：
因此，为了防止 XSS（跨站点脚本）攻击，您不应将 JWT 存储在会话存储或 cookie 存储中。最好使用 Uuid 生成，使它们作为 Id，作为指向可以存储在缓存中的用户 id 的指针，而该用户的 id 是指向存储在 db 中的用户个人数据的指针。