如何在浏览器中存储JWT？

Question

我第一次使用JSON Web令牌（JWT）。我正在制作一个节点。js应用程序。我想使用JWT进行身份验证。根据文档，我将JSON令牌返回到前端。

var tokenData = {
    username: req.body.username,
};

var result = {
    username: req.body.username,
    token: jwt.sign(tokenData, 'secret', { expiresIn: 60 * 60 })
};

res.json(result);

但是我不知道如何将这个JSON令牌保存到我的浏览器头中，这样它就不会丢失，并随头一起再次发送到后端。如何将它保存在我的浏览器存储中，并在每次向后端发送请求时将其添加到请求头中？

Answer 1

您可以使用HTML5网络存储或cookie来存储您的JWT令牌，并在您想将请求发送到网络api时从中读取。

此链接将帮助您确定最适合您的应用。

希望有帮助！！

Answer 2

当它返回时，把你的整个令牌存储在sessionStorage中

sessionStorage.token = json.access_token;

要访问有效负载，请将jwt令牌分成header.payload.signature部分，并只获取有效负载

var enc = json.access_token.split(".")[1];

然后解析base64

var payload = JSON.parse(window.atob(enc));

然后，您可以获取并使用已验证的有效载荷数据有效载荷。sub，有效载荷。角色…等

Answer 3

安全建议：

尽量简短：cookie（仅限超文本传输协议）

您能做的最好的事情就是将风险最小化:将JWT存储在cookie存储中，将csrf_token存储在localstorage中

要使其无状态：将csrf_token包含在 JWT 有效负载中，并检查服务器端 JWT 是否csrf_token和 csrf_token 从本地存储读取并在标头匹配中提供。

这需要攻击者通过XSS获得csrf_token(例如，您在您的站点中使用了受损的第三方js库，或者没有应用清理)，然后他需要使用csrf_token触发csrf请求(例如，网页/电子邮件中嵌入的img src标签或表单)

这种组合使攻击者更加困难（但并非不可能）。

它提供了与使用csrf_tokens的基于正常会话的身份验证相同的安全级别，但不需要状态。