Vue - Larave SPA 前端 api 安全和限制

Question

我面临这样一个问题，即从事我项目的前前端开发人员即使在退出后也可以访问我的前端 API。我已经实施了用于身份验证和授权的 Laravel Sanctum，以及用户名和密码系统以及不记名令牌。此外，我还设置了 Laravel Telescope 来监控对我的 API 发出的请求。

尽管采取了这些措施，我仍然担心前开发人员可以访问 API。我还向我的客户提供相同的 API，这使得防止未经授权的访问变得更加重要。

我可以采取哪些额外措施来保护我的 API 并防止前开发人员访问它们？任何建议或最佳实践将不胜感激。谢谢。

1. 使用密室，
2. 使用不记名令牌，
3. 用户名和密码，
4. 我正在使用 laravel/telescope 进行监控并保存日志等。 我也在考虑再添加一个“api 令牌”，但不确定他是否可以使用邮递员等，也可以使用。

Answer 1

如果用户已经签署了保密协议，你不必担心这个。但如果不是，您应该为该开发人员创建一个中间件，这样您就可以限制该开发人员可以执行的写入操作。

你可以用类似于这个的方式创建一个中间件：

php artisan make:middleware ReadAccessOnlyMiddleware

然后在中间件里面

protected $usernames = ['[email protected]'];

public function handle($request, Closure $next)
{
    $method = $request->method();


    if (($method !== 'POST' || $method !== 'PUT') && in_array($request->user()->email, $this->usernames)) {
        abort(403);
    }

    return $next($request);
}

至少您可以控制该开发人员可以执行的任何操作，或者更好的是为该开发人员创建一个仅请求的 API 密钥并限制“ X 天”这样你就可以限制开发人员与 API 的交互。

归结为您公司关于开发人员为何可以访问此 API 的政策。