Java 如何保护我的Spring Boot API

我有Spring引导API和React.js/Redux前端

我想确保所有邮政路线和一些GET路线的安全。只有一条GET路线应该开放

到目前为止，我所做的是使用access_令牌（Spring Security）。但是，由于没有登录（此API没有用户），因此访问令牌在前端需要是静态的，这是不安全的

---

那么，我应该把访问令牌放在哪里，这样客户端就可以访问，而不是其他任何人？

听上去，您想确保只有您的前端可以使用您的API吗？CORS将在很大程度上实现这一目标。这只适用于浏览器，虽然CORS是一种很好的处理方法，但如果有人使用RestClient（隐藏源代码），他仍然可以操作数据。因此，对于生产，我想最好不要以某种方式部署这些路由，对吗？是的，如果你不能保证用户只使用浏览器，那么这种方法将不起作用。您面临的问题是，如果用户看不到身份验证信息，就无法交换身份验证信息。您可以使用一个简单的环境变量来指示是否在生产环境中运行，并使用拦截器基于某些逻辑禁用POST端点：