无记名令牌认证和JWT

Question

我已经提供了一个REST API，它具有身份验证类型承载（安全方案类型：API密钥，标头参数名称：授权），我用它来验证用户，然后获取其他数据（我只会使用反应创建前端）。

作为第一步，用户登录，我将他/她的用户名密码发送到预先提到的 REST API，并取回访问权限和刷新令牌。

将这两个令牌存储在cookie中以便在后续请求中使用它们有什么问题吗？对于这两个标志，JWT是如何发挥作用的？在这种情况下，JWT对我有用吗？

Answer 1

根据我对这个问题的理解，您正在使用一个身份提供者，它为您提供用户的访问令牌和刷新令牌。这意味着它是一个身份验证即服务REST API。

REST API 要求将授权标头与用户名密码一起传递，以交换用户的访问令牌和刷新令牌。（如果我错了，请纠正我）在这种情况下，您可能希望使授权标头远离用户（请参阅身份验证即服务文档）。

您使用有效负载（用户密码）以及如下标头调用REST API：

Authorization: ACCESS_TOKEN

但是，ACCESS_TOKEN是供应商提供给您使用REST API的。成功调用REST API时，它应该返回一组访问令牌和刷新令牌。然后，您可以使用此访问令牌和刷新令牌来安全保护您自己的API，您控制的API为您的用户提供服务。

访问令牌和刷新令牌可能只是 JWT 令牌（再次查阅供应商文档）。

此外，如果您使用的是身份验证即服务 REST API，请查看文档是否提供客户端 sdk。在这种情况下，它应显示处理访问令牌和刷新它返回的令牌的最佳做法。

Answer 2

将令牌存储在cookies中没有错，但是如果您计划使用React开发一个单页面应用程序，那么将这些令牌存储在内存中就足够了。一旦用户刷新页面，您可以让他们再次登录，或者在后台执行静默登录以获得一组新的令牌。在这两种情况下，保留在授权服务器上的会话都应该生效，并且您应该在不需要用户交互的情况下获得新的令牌。

如果您不将代币保存在cookie中，您的代币将更加安全。

JWT 不是访问和刷新令牌的要求。如果您不必使用它们，我建议您使用不透明的令牌。也就是说，由于您无法控制 API，因此您可能仅限于 API 所需的格式。如果您不想受此格式的限制，则可以设置自己的网关，您可以使用该网关执行令牌交换或自检，并使用适当的令牌将请求转发到 API（称为幻像令牌模式。