Reactjs 如何确保客户端应用程序中的安全授权（ASP.NET核心WebAPI和React）

我有ASP.NET核心WebAPI和React中的应用程序。我使用JWT授权。我正在寻找某种特定情况下的安全授权

我在这台服务器上有另一个网站，我在React组件中这样称呼它：

<iframe id="inlineFrameExample"
title="Inline Frame Example"
width="1000"
height="1000"
src="./subpages/1/index.html">
</iframe>

this.state.authorized ?

<iframe id="inlineFrameExample"
title="Inline Frame Example"
width="1000"
height="1000"
src="./subpages/1/index.html">
</iframe>

:

<Redirect to ='/' />

我使用JWT为用户调用API方法，并得到true或false值。接下来，我在React组件中执行类似操作：

<iframe id="inlineFrameExample"
title="Inline Frame Example"
width="1000"
height="1000"
src="./subpages/1/index.html">
</iframe>

this.state.authorized ?

<iframe id="inlineFrameExample"
title="Inline Frame Example"
width="1000"
height="1000"
src="./subpages/1/index.html">
</iframe>

:

<Redirect to ='/' />

this.state.authorized？
:

---

但恐怕这是一个危险的解决办法。我在子页面中更改的可能性有限

我不确定我是否理解您担心的是什么。您只显示了前端代码，这不是授权应该发生的地方。授权应该发生在后端，所以只要后端是安全的，你应该是好的。是的，但我在前端的所有数据，在后端我只有关于访问子页面的信息。我很担心，这是一种让用户插入前端代码而忽略后端授权信息的方式。如果“受保护”页面可以在没有任何安全令牌的情况下访问，则意味着您没有安全性，您如何在前端获得数据而不先从后端获取数据。无论你在前端做什么都毫无意义。每个具有正确URL的人都可以进入。子页面已在后端。即使它是由nginx提供的静态文件（或者在您的案例中是什么），它仍然是一个后端文件。静态实际上通常不会得到保护，因为那里没有私人或合理的信息。如果你的静态数据中有私人的或合理的信息，你也需要保护它们。最好的方法是从静态数据中提取此类数据，并动态加载。但将整个静力学转化为动力学也会起作用。