关于用户权限的问题

Question

老师你好，这个项目登录状态的保持是放在localStorage中，但是localStorage不安全呀，在console里可以直接修改，如果后台系统需要权限控制，比如分管理员和普通用户，普通用户无法看到管理员的页面，但是如果将用户权限也保存在localStorage中，这样当普通用户去修改localStorage中的权限字段，那么岂不是也有了管理员的权限？？？这样行不通吧，所以后台管理系统加上了权限的话该如何做呢

Answer 1

Rosen 2018-02-17 20:52:46

这个项目的登录状态是在cookie里的，一个http-only的cookie字段。localStorage里存储的只不过是用户信息，不是登录信息，纯粹用于前端显示，所以不会有什么安全性问题。

• 提问者 qq_MVP_皇德耀世_0 #1

  嗯嗯，那么这个cookie是服务端代码设置的吧，我以前用express可以设置cookie，

• Rosen 回复 提问者 qq_MVP_皇德耀世_0 #2

  是的，通过response头里的set-cookie字段设置进去的

• 提问者 qq_MVP_皇德耀世_0 回复 Rosen #3

  浏览器里不是可以直接清除和修改cookie么，这样也不安全吧？而且cookie没加密，之前用express的中间件cookie-parser就直接res.cookie返回了cookie，里面包含username

点开查看后面3条评论