JWT (JSON Web Token)交叉用户/应用程序使用风险

Question

我已经为其中一个 API 使用要求实施了基于 JWT 的身份验证系统。这意味着，如果用户想要访问任何 REST API，则将使用 JWT 令牌进行通信 API。这是步骤应遵循的方式：

1. 用户将调用 /Authenticate 方法传递用户名/密码。
2. 系统将验证用户并在响应中返回 JWT 令牌和超时。
3. 现在，用户将在请求标头中调用 /Employee/Get API 方法以及 JWT 令牌。 例如授权：持有者{令牌}
4. 事情进展顺利。

现在的问题是，一旦生成令牌，任何用户都可以通过捕获网络请求/通过任何可以在网络系统中读取请求/响应的工具来获取令牌。

这意味着，如果我为用户 Mark 生成了 JWT 令牌，那么通过抓取相同的 toke，其他用户可以在标头中传递相同的令牌，并且可以访问我的 /Employee/Get API 方法。

现在，令牌将被验证，因为它是从同一系统生成的，并且系统不知道用户，它只知道 JWT 令牌。

我如何确保其他用户不能使用同一令牌，或者即使他们传递了相同的令牌，我的系统也应该拒绝该请求。我如何确保它的安全？

提前谢谢！

Answer 1

拥有JWT是身份验证证明。如果令牌被盗，那么攻击者可以冒充用户。所以你需要保护它：

>

主要使用HTTPS加密通信通道

将其安全地存储在客户端上。例如，看这里JWT应该存储在local存储还是cookie中？