没有OAuth/localStorage的身份验证解决方案

Workaround for auth without OAuth/localStorage

本文关键字：身份验证解决方案 localStorage OAuth 没有更新时间：2023-10-08

我是chrome扩展开发的新手，我发现有很多源材料提到了在localStorage上使用OAuth。我需要验证不提供OAuth的API的凭据。由于存在明显的安全风险，我也不想通过localStorage进行操作。是否还有其他可以遵循的最佳实践？

到目前为止，我正在将客户端引导到进行基本身份验证的主网站。如果我按照这种方式，客户端每次都会通过网站登录，我不知道如何检查ifLoggedIn（）状态，而不是通过虚拟请求访问域并检查是否返回401。这也有出路吗？

即使使用oauth，在谷歌示例中，它仍然会将令牌保存在localStorage中。Chrome存储没有加密，但访问它的唯一方法是访问机器（物理或恶意软件），在这种情况下，你不能做太多事情。即使它是加密的，恶意软件也可以逆转它，因为密钥在客户端。目前唯一加密的区域是chrome.sync，但用户必须启用它，而且这对我来说似乎更危险。任何侵入你的chrome密码的人都可以从另一台机器登录chrome并接收加密的同步数据。更糟糕的是，它不需要恶意软件或物理访问特定的设备。