在哪里存放JWT

Question

我刚刚开始阅读JWT，我相信我理解什么是JWT代币。我对会话也相当熟悉。我相信我了解每种方法的优点和缺点。然而，有几个部分我感到困惑。

当请求受保护的资源时，您需要在每次请求时发送jwt，而不是在服务器上存储会话。但是：

1）您如何存储您的JWT令牌以及在哪里。根据我所读到的，我知道您向服务器发送身份验证请求，如果您成功进行身份验证，服务器会向您发送JWT令牌。然后你会怎么做？，你会像我在一些网站上读到的那样将JWT存储在cookie中吗？如果是这样，你是怎么做到的（使用php，使用javascript）。你是怎么读的。

2） 在使用会话时，或多或少您只需检查是否有会话来检查用户是否登录。在使用JWT时，如何实现这一点。

我在一些页面上也看到了这一点：

RewriteCond %{HTTP:Authorization} ^(.*)
RewriteRule .* - [e=HTTP_AUTHORIZATION:%1]

这和这有什么关系（如果有关系的话）

Answer 1

在我的情况下，我使用使用照明\基金会\Auth\身份验证用户；，使用JWTAuth；和在我的LoginController中使用Tymon\JWTAuth\Exceptions\JWTExc0019；。然后我需要像这样得到我的JWTToken

use AuthenticatesUsers;

try {
   $token = JWTAuth::attempt($request->only('username', 'password'), [
   'exp' => Carbon::now()->addWeek()->timestamp,
   ]);
} catch (JWTException $e) {
    return response()->json([
        'error' => 'Could not authenticate: ' . $e.message,
    ], 500);
  }

当然，如果我没有得到令牌，我会做更多的事情。就我而言，我是这样说的：

if (!$token) {
    return response()->json([
        'error' => 'Could not authenticate.'
    ], 401);
} else {
    $data = [];
    $meta = [];

    //all what i need from users table if auth
    $data['id'] = $request->user()->id;
    $data['email'] = $request->user()->email;

    $meta['token'] = $token;

    //now comes the part, where I set my sessions:

    Session::put('auth-user', (array)$request->user());
    Session::put('jwt-token', $token);
    Session::save();

    return response()->json([
            'data' => $data,
            'meta' => $meta
        ])->withCookie('jwt-token', $token, config('jwt.ttl'), '/', null, true, true);
}

这实际上是我在LoginController中做的事情，我也有一个中间件，我有一个函数来处理刷新页面后的行为等等。

“我的。auth'=

我还在javaScript的localStorage和vuex存储中处理大量的sessionStorage。在网站中定义路线。php或api。php我现在将使用我在中间件之前定义的类路由：：组（['middleware'=

一些帮助我的资源：LaravelCookies，LaravelSession

希望你能得到一些灵感来创作你的JWTauth。

Answer 2

JWT主要是一种在restapi上对用户进行身份验证的方法，正如您所说的，您可以将其发送到客户机，而无需将其存储在会话中。

但是，如果您正在制作一个浏览器应用程序，我不认为有必要使用JWT身份验证，因为您可以使用会话和cookie来实现这一点。

JWT主要用于那些情况，例如，当您有一个移动应用程序前端时，不建议维护会话，而且可能不可能。

但是，如果您正在制作一个混合应用程序，那么将其存储在“浏览器”的本地存储中是一个不错的选择。JWT从不存储在服务器端。

Answer 3

>

从客户端来看，好的做法是将JWT存储在cookie中，模式为http_only=true，是安全的（因此只能通过https发送），因此javascript无法访问JWT。那么，我们就不用担心XSS附加了。

我们不需要将会话存储在服务器端。JWT包含两部分，有效负载数据和签名，由存储在服务器端的密钥签名，只有服务器才能知道。当我们从客户端接收令牌时，我们检查有效负载数据是否有效（用户信息、谁分配了该令牌、将该令牌分配给谁、授予该令牌的角色、过期时间），并检查签名以确保该令牌是由服务器分配的，而不是伪造的。然后将对用户进行身份验证。

这就像政府给公民的护照，数据（有效载荷）对每个人来说都是可读的，但签名只能由政府创建，它可以验证这一点。