在客户端Javascript应用程序中处理JWT令牌-http只有Cookie与Local存储

Question

我看过的大多数博客文章都建议使用httpOnly cookies，以便在客户端（javascript应用程序）上安全地存储jwt令牌。我对此有几个问题（我在那些博客文章中找不到）。

< li >如果jwt令牌存储在httpOnly cookie中，javascript应用程序将无法访问令牌，也无法知道当前用户的身份验证状态。我们该如何处理？ < li >“使用httpOnly cookie”在API端是否符合REST的无状态性？ < li >对jwt令牌使用localStorage可以吗？我们只需要提防XSS？

Answer 1

如果jwt令牌存储在httpOnly cookie中，javascript应用程序无法访问令牌，也无法知道当前用户的身份验证状态。我们如何处理？

令牌可能对客户端隐藏，但这并不意味着客户端不能拥有任何信息。当客户机向服务器发出成功的请求，并且服务器对客户机进行身份验证时，响应可以在HttpOnly cookie中包含JWT，当客户机看到请求成功时，就在本地存储中设置一个标志，指示cookie存在(即使JS不能访问它)，或者指示cookie的过期日期。

然后，客户机可以在将来的页面加载中使用存储中的这个值来查看向服务器发出的请求是否会成功(也就是说，HttpOnly cookie存在，并且它包含有效的JWT)。如果该值存在，客户端可以发出请求，服务器可以验证cookie，并将信息发送回客户端，而无需客户端直接通过JavaScript访问JWT。

也就是说，这种方法有点麻烦，而且只适用于页面上可能运行着其他不一定值得信赖的代码的情况。当我的一个应用程序在我无法控制的外部域上的页面上运行时，我使用这种方法，还有我不太了解的其他脚本——使用Http比如说cookie意味着我的服务器可以安全地在那里存储客户端信息，而不必担心页面上的其他脚本可能在做什么。

如果应用程序运行的页面是您自己的，您可以选择将JWT存储在普通(非HttpOnly cookie)或本地存储中，并通过JavaScript访问它。

“对jwt token使用localStorage”就可以了吗？我们只需要提防XSS？

如果它在您自己的页面上，是的，在大多数情况下。如果 JWT 可以使用 JavaScript 访问，恶意 JavaScript 可以抓取它 - 这是唯一的担忧。

Answer 2

使用httpOnly的建议是避免使用恶意代码（例如XSS、脚本注入）来读取JWT。这是在这样的假设下进行的，即身份验证仅在后端完成，如果Javascript代码需要从JWT中提取一些信息，则httpOnly不起作用。

我不认为这与其余地区的无国籍状态有任何关系。

使用localStorage有这个风险，但是如果需要的话，是的，你需要小心。