Estoy tratando de entender cómo puedo proteger mi SPA. Aplicación basada en microservicios y contiene módulos que se alojan en un servidor de pareja. Estos módulos funcionan como SPA, por ejemplo, la página con el módulo de contabilidad es una aplicación separada. Todos los módulos están alojados en la aplicación principal en el componente iframe. Creo comunicación entre confiar en enviar mensaje por postMessage() Por supuesto, también verifico el origen en cada acción. Quiero pasar datos (también confidenciales) entre iframe y la aplicación principal. Se me ocurrió un diagrama para los desarrolladores:

1. Un usuario registrado recibirá una clave de identificación,
2. El módulo SPA tendría que cumplir con los requisitos de la Política CROS. Así es como proporciono un proxy.
3. El módulo SPA debe tener un módulo de autenticación que permita el acceso a la API, base de datos, etc.
4. Obviamente, el módulo SPA y la aplicación principal en el protocolo SSL.

Por supuesto, no sé cómo crear un módulo de autenticación fuerte para este caso. Tal vez todo lo que necesita hacer es proporcionar la clave secreta dentro de la solicitud postMessage. Quizá sea más complicado de lo que pienso.

Agregaré: quiero proporcionar una interfaz para crear sus propios módulos (spa integrado) para desarrolladores. Esta puede ser una solución similar a Google Maps. En este caso, tal vez no sea necesario un seguro adicional, ¿no lo sé? Tengo problema con la comprensión.