Firebase AuthなどJavaScriptでAPIセッション用のトークンを得ることについて - Qiita

ちょっとでもセキュリティに自信がないなら、 Firebase Authentication を検討しよう （※ こちらの参照記事の内容自体に不備があるとか甘いとか指摘するものではないんですが、勝手に枕として使わせてもらいます） 上記記事は、Firebase Authenticationが提供するJavaScript APIを使ってJWTのトークンを取得し、自前のサーバにHTTPのヘッダで送りつけて検証をさせることで、認証の仕組みをセキュアかつかんたんに実現しよう、という内容です。 このようにJavaScriptのAPIでトークンを発行して自前バックエンドのAPI認証につかう方法はAuth0のSDKなどでも行われていますので、IDaaSをつかってSPAを開発する場合には一般的なのかもしれません。 話は変わりますが、SPAの開発に携わっている方は「localStorageにはセッション用のトー

[teppeis]

「焦点はオフライン攻撃をオンラインと比べて脅威ととるのか」「これはそのアプリケーションの特性を無視して常に断定できるものではないのでは」そうなんすよねー

[nijitaro]

この件はXSSを考えるとキリない一方、ライブラリなどから注入される可能性は十分にあって、潔癖になるほどフロントエンドの限界にぶち当たることになる

[ockeghem]

御意>「JavaScriptのメモリ内でトークンを取り扱うことは、localStorageにトークンを保管することと、XSS時のリスクという意味ではあまり変わらない」

[efcl]

Firebase Authentication

[unarist]

XSSされた場合はやっぱりどうしようもないことが多いので、"そこが心配なら"CSP等で固めるぐらいかなあという気がしている。

[shag]

難しい。。。

[t-murachi]

そういやそんな議論もあっただべさなぁ…(´・ω・`)

[ponpon_qonqon]

書き換えられてる可能性があるいっぽう、本来のwindowオブジェクトを取得するのってどうやんだっけ？　たしかなんかあったけど

[takeag]

素晴らしい記事