8

Estou a desenvolver um addin em angular para outlook - Office365 para uma aplicação de gestão "Jasmin Software". A aplicação está dividida em duas partes, A 1 é uma aplicação javasscript para tratar da autenticação no servidor Aouth2, a segunda é a aplicação angular propriamente dita.

Questão: Como posso passar de forma segura o token devolvido após autenticação à aplicação angular para depois fazer os pedidos à aplicação.

O meu código depois de obter a resposta do servidor é este:

    function getCallbackResponse(data) {

    var responseParameters = (data).split("&");
    var parameterMap = [];

    for (var i = 0; i < responseParameters.length; i++) {
        parameterMap[responseParameters[i].split("=")[0]] = responseParameters[i].split("=")[1];
    }

    if (parameterMap.access_token !== undefined && parameterMap.access_token !== null) {

        var oauth_response = {
                access_token: parameterMap.access_token,
                expires_in: parameterMap.expires_in
        };

        // ESTOU A USAR ISTO...MAS NÃO SEI SE A MELHOR FORMA?
        sessionStorage.removeItem('oauth');
        sessionStorage.setItem('oauth', JSON.stringify(oauth_response));

    } else {

        console.log('Problem authenticating');
    }
}
2
  • Uma prática comum, independente da plataforma ou app, é criptografar o token. Quando enviar a solicitação, envia-se o token criptografado. Commented 14/03/2018 às 17:20
  • Tem alguma sugestão de algoritmo para encriptar?? Commented 14/03/2018 às 20:55

1 Resposta 1

7
+50

A mais comum é a que tu fizeste: Gravar o token em session-storage e depois aceder à session-storage quando a queremos ler.

Isto é tão seguro como "gravar um ficheiro no teu pc", sendo que só o cliente que recebeu a token é que sabe que a gravou na session-storage.

Outra maneira de fazer isto, e que é usada nos emails (pex), é usares um url com a token - e se o servidor reconhecer a token então tá tudo bem - se não descartas esse pedido como erro.


Se a tua preocupação é com ataques do tipo MitM, nesse caso a tua preocupação passa a ser: usar SSL.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .