如何从Angular安全向Spring Boot传递登录凭据用于JWT生成？

1. 全程强制HTTPS传输 #

这是最基础也是核心的安全保障，通过TLS/SSL协议对整个HTTP通信链路做端到端加密。即便请求数据包被截获，攻击者也无法解密出明文的账号和密码。

• 生产环境必须使用正规CA签发的可信SSL证书，禁止使用自签证书；
• 服务器端禁用弱加密套件与旧版TLS协议（如TLS 1.0/1.1），优先启用TLS 1.3；
• 前端实现HTTP到HTTPS的强制跳转，避免用户在非加密环境发起登录请求。

2. 用POST请求体传递凭据，禁止URL携带 #

绝对不能将账号、密码放在URL的查询参数或路径中，这类内容会被记录在浏览器历史、服务器日志、代理日志甚至Referer头中，极易泄露。

• 采用POST请求发送登录数据，将凭据封装在请求体中（推荐JSON格式）：

  POST /api/auth/login
  Content-Type: application/json
  
  {
    "username": "your_username",
    "password": "your_password"
  }
  

3. 结合短生命周期JWT与HttpOnly刷新令牌 #

单纯的长有效期JWT一旦泄露会造成持续风险，建议采用「访问令牌+刷新令牌」的组合模式：

• 访问令牌（JWT）设置较短有效期（如15-30分钟），前端将其存在内存中（而非localStorage/sessionStorage，避免XSS窃取），请求时放在Authorization: Bearer <token>头里；
• 刷新令牌设置较长有效期，后端将其存储在安全数据库中，同时以HttpOnly、Secure、SameSite=Strict的Cookie返回给前端，前端无法通过JS直接访问，规避XSS攻击；
• 访问令牌过期时，前端用刷新令牌请求后端获取新的访问令牌，刷新令牌失效时需重新登录。

4. SPA类无后端客户端用PKCE流程 #

如果是单页应用（SPA）这类无法安全存储客户端密钥的场景，建议采用OAuth 2.0的PKCE（Proof Key for Code Exchange）扩展流程：

• 前端生成随机的code_verifier，对其哈希得到code_challenge，在授权请求时传递code_challenge；
• 后端返回授权码后，前端携带code_verifier交换JWT，后端验证两者的哈希关系，确保请求来自合法前端，避免授权码被窃取后滥用。

5. 补充安全防护措施 #

• 登录频率限制：对同一IP或账号的登录请求做频率限制（如1分钟内最多5次），防止暴力破解；
• CSRF防护：若用Cookie存储刷新令牌，需在登录及刷新令牌的请求中携带CSRF Token，防范跨站请求伪造；
• 后端密码存储规范：后端绝对不能明文存储用户密码，必须使用bcrypt、Argon2等慢哈希算法对密码加盐哈希后存储，登录时将前端传来的密码重新哈希后与存储值对比。

内容的提问来源于stack exchange，提问作者user3794273