保护“后端”角度源文件

Question

我有一个 Angular 系统，它只与我的 Go 后端和 Gorilla 对话，我负责我的登录会话。我开始在我的管理环境中工作，但我想知道保护它的 angular 代码的最佳实践是什么。这对安全来说并不是真正的问题，因为即使是管理代码也只有逻辑，而不是危险数据，但我仍然不希望它只对世界上的任何人开放。我正在考虑做以下事情；我有一个mux路由器可以捕获我所有的资源调用（与 Yeoman 一起部署），我想知道我会在那里为images/admin,scripts/admin和styles/admin. 只有当您有一个有效的会话处于活动状态时，才能提供这些路径。否则抛出 401 标头。这是一个很好的解决方案还是有更有效的方法来实现这一目标？

Answer 1

如果您需要一个有效的（最好是授权的）会话来获取一些静态资产（例如 JS 代码、样式表、图像...），您需要通过应用程序，您使用的堆栈根本不相关。

我要做的是将资源指向由您的应用程序控制的内容，然后返回 401 或带有X-Sendfile或X-Accel-Redirect标头的空响应，以便将实际服务卸载到您拥有的任何反向代理。