javascript - escape - ng-bind-html

AngularJS-Manejo de token de actualización?

Question

Estoy construyendo un SPA con AngularJS con comunicación a un servicio (JAVA).

Cuando el usuario envía su nombre de usuario / contraseña, el servicio devuelve ambos: token de acceso y token de actualización. Intento manejarlo: si recibo una respuesta con el estado 401, envíe el token de actualización y luego envíe su última solicitud nuevamente. Intenté hacer eso incluyendo $ http, pero angular no me permite incluirlo en este interceptor. ¿Hay alguna manera de volver a crear la solicitud original con este parámetro de respuesta que estoy recibiendo?

Algo como:

1. Me sale 401
2. guardar mi solicitud
3. si tengo un token de actualización, envío ese token de actualización
4. en caso de éxito, vuelva a enviar mi solicitud

5. en caso de error redirigir a / página de inicio de sesión

   ''use strict'';
   angular.module(''testApp'')
   .factory(''authentificationFactory'', function($rootScope, $q, $window, $location, CONF) {
   return {
   request: function(config) {
   config.headers = config.headers || {};
   if ($window.sessionStorage.token) {
   config.headers.Authorization = ''Bearer '' + $window.sessionStorage.token;
   }
   console.log(config);
   $rootScope.lastRequest = config;
   return config;
   },
   response: function(response) {
   console.log($rootScope.lastRequest);
   if (response.status === 401) {
   if ($window.sessionStorage.refreshToken) {
   //Save, request new token, send old response
   //if it fails, go to login
   $location.url(''/login'');
   } else {
   $location.url(''/login'');
   }
   }
   return response || $q.when(response);
   }
   };
   });

Pregunta de bonificación (la pregunta principal es más importante): hay 2 aplicaciones móviles que también se conectarán a mi servicio, y cuando inicio sesión desde mi aplicación web, y unos minutos más tarde desde mi aplicación móvil, la aplicación móvil toma un nuevo token de actualización y el token de actualización de mi aplicación web ya no es válido. ¿Cuál sería la mejor opción para lidiar con eso?

Gracias por su tiempo, saludos cordiales

Answer 1

Eche un vistazo a esto: https://github.com/witoldsz/angular-http-auth .

Él usa un buffer para reproducir las solicitudes después de la autenticación.

Answer 2

Recomiendo encarecidamente no enviar y almacenar tokens de actualización en SPA como Angular.

Si está utilizando almacenamiento de sesión o almacenamiento local, está abriendo una ventana de oportunidad para capturar este refreshToken, ya sea por un ataque XSS o por el usuario que deja la computadora desatendida.

Vea este artículo o esta pregunta para más información.