sobre la seguridad de la autenticación basada en tokens

Question

Estoy leyendo los servicios autentificados con token. Entiendo que un usuario tiene que obtener un token para utilizar los servicios de arcgis. Ejemplo: https://domain.com/arcgis/rest/services/myMap/MapServer es mi servicio. El administrador de mi servidor me da un token como este. Token = AJSJK876548sjjs7

Y he utilizado este servicio en mi api de javascript así https://domain.com/arcgis/rest/services/myMap/MapServer?token=AJSJK876548sjjs7

Un usuario puede ver la fuente de mi aplicación desde el navegador y puede obtener mi token. Y puede acceder a mi servicio. ¿Es esto un problema de seguridad?

Answer 1

Sí, es un problema de seguridad.

Una solución común es ir a través de un proxy - un servicio que usted escribe que su cliente puede llamar y que a su vez llamará al punto final. Su cliente llama a su servicio con todos los argumentos excepto el token. El servicio copia todos los argumentos que se le pasan, añade el token, llama al punto final y devuelve la respuesta al cliente.