JWT应该存储在localStorage还是cookie中？[副本]

Question

为了使用JWT保护REST API，根据一些材料（如本指南和本问题），JWT可以存储在本地存储或Cookies中。根据我的理解：

• localStorage受XSS限制，通常不建议在其中存储任何敏感信息
• 对于cookie，我们可以应用“httpOnly”标志，以降低XSS的风险。然而，如果我们要从后端的Cookies中读取JWT，那么我们将受到CSRF的约束

因此，基于上述前提，最好将JWT存储在Cookies中。对于服务器的每个请求，JWT都将从cookie中读取，并使用承载方案html" target="_blank">添加到授权头中。然后，服务器可以验证请求头中的JWT（而不是从cookie中读取）。

我的理解正确吗？如果是，上述方法是否存在任何安全问题？或者实际上我们可以从一开始就不用使用本地存储？

Answer 1

• 不要将令牌存储在Localstore或Sessionstore中，因为这样的令牌可以从javascript中读取，因此它可以被XSS攻击。
• 不要在Cookie中存储您的令牌。Cookie（带有HttpOnly标志）是一个更好的选择——它容易受到XSS攻击，但它容易受到CSRF攻击

相反，在登录时，您可以交付两个令牌：访问令牌和刷新令牌。访问令牌应存储在Javascript内存中，刷新令牌应存储在HttpOnly Cookie中。刷新令牌仅用于创建新的访问令牌——仅此而已。

当用户打开新标签或站点刷新时，您需要根据存储在Cookie中的刷新令牌执行创建新访问令牌的请求。

我也强烈推荐阅读这篇文章：https://hasura.io/blog/best-practices-of-using-jwt-with-graphql/

Answer 2

来自Stormpath的一篇及时的帖子详细阐述了我的观点并回答了我的问题。

将JWT存储在Cookie中，然后在每个请求上传递JWT，如我所述，或者如文章所建议的，依靠后端来防止CSRF（例如，在出现问题时使用xsrfToken）。

Answer 3

我喜欢XSRF双提交Cookies方法，它在@pKid169的文章中提到，但是有一件事文章没有告诉你。您仍然不受XSS的保护，因为攻击者可以做的是注入脚本，读取您的CSRF cookie（不是HttpOnly），然后使用此CSRF令牌向您的某个APIendpoint发出请求，JWT cookie将自动发送。

所以在现实中，你仍然容易受到XSS的影响，只是攻击者不能窃取你的JWT令牌供以后使用，但是他仍然可以使用XSS代表你的用户发出请求。

无论您是将JWT存储在本地存储中，还是将XSRF令牌存储在非仅http的cookie中，都可以很容易地被XSS抓取。即使是HttpOnly cookie中的JWT也会被高级XSS攻击抓获。

因此，除了双提交Cookies方法之外，您还必须始终遵循针对XSS的最佳实践，包括转义内容。这意味着删除任何会导致浏览器执行您不希望它执行的操作的执行代码。通常这意味着删除//