在请求的标头中发送令牌是否安全？

Question

我想使用jwt令牌向我的应用程序添加身份验证。

每次向服务器发送请求时，我都会附加服务器创建的令牌。

我受伤了，这是在标头中发送令牌的安全方式吗？如果有人访问我的计算机并在 DevTools 选项卡中检查我的网络并看到我的令牌，他可以使用令牌模拟请求并控制用户数据。

这是常见的情况吗？以及窃取和黑客 JWT 代币的方法？

Answer 1

这是事情应该发生的方式。在JWT令牌身份验证中，服务器提供的令牌应该始终作为带有< code>Authorization: Bearer的报头发送

然后，当请求到来时，网站应该检查令牌的有效性，并进行相应的处理。

编辑

是的，使用HTTPS是强制性的。如果一个人得到了你的电脑，那么他们可以使用令牌来模拟用户。代币的好处是它们大多是短命的，这意味着它们很快就会过期。因此停止了它们的使用，需要重新认证。

Answer 2

令牌是一个短期密钥。任何有权访问令牌的人都可以访问该密钥解锁的任何内容。感觉不安全，但这是使用令牌的一个基本属性。你使用HTTPS来加密数据，这样数据就不会在传输过程中被读取，但是人们总是有办法获得令牌。

在易访问性和安全性之间往往存在权衡。人们已经接受了使用令牌进行身份验证的相关风险。明确地说，任何存储密钥的身份验证方法都有这个问题；唯一真正的选择是为每一个请求询问密码，但不是没有人有时间这样做。

Answer 3

是的，将令牌附加到标头是很常见的。它看起来像这样：

Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9

当然，有人可以进入你的电脑检查令牌。但是通常你的电脑也有某种身份验证来登录。手机也一样，几乎每个人都有某种密码。

存储令牌的一个好方法是httpOnly cookie。有了这个标志，javascript 无法读取客户端的 cookie。它使XSS攻击更难获得令牌。

关于JWT的问题是，它们有一个到期日期，并且在到期之前有效。假设您登录到一个网页，并获得一些令牌。现在有人偷了你的代币。您注销并从设备中删除令牌。

现在的问题是，令牌被盗，仍然有效，因此攻击者可以使用它。

在这一点上，攻击者技术上是你，因为他有一个令牌，里面有保存的数据。

你可以在这里创建一个黑名单。如果你注销，你就把你的代币放入黑名单。每当有人试图访问需要令牌的东西时，你首先要检查该令牌是否在黑名单中，如果是你拒绝了请求。

对于黑名单，我建议使用像 redis 这样的缓存来快速访问。