在何处存储JWT令牌？
我正在用Django和angular构建一个应用程序。目前，我正在本地存储上存储后端发布的JWT。但是，我担心XSS攻击。我应该使用仅HTTP cookie存储令牌吗？我还考虑将令牌存储在auth服务类的变量字段中。但我不能完全确定angular是否在整个应用程序中共享该服务。我的身份验证服务是否只有一个实例？
共有2个答案
让我们把事情弄清楚：
如果你得到了XSS-游戏结束了。句号。
也就是说，
在我目前的工作场所，通过外部渗透测试的一种方法是将JWT令牌放入httpOnly secure samesite=strictcookie中。
为了进一步防止CSRF，您可以在web存储中添加一个标识符，将其作为头附加到每个xhr。
在服务器中，从jwt中提取标识符，并将其与标头值进行比较。
假设您使用的是标准依赖项注入，那么每次都会实例化一个新的服务实例，因此不会存储服务类中的字段。
不过，会话或本地存储也可以。JWT机制防止客户端轻易更改内容（因为您必须在下游后端服务上验证内容）。
可以想象，您可以在JWT有效载荷中保留一些原始请求签名，并检查在此匹配下的任何辅助请求。例如，IP地址、用户代理字符串等。
就个人而言（如果它实现正确），我认为这对于大多数面向Web应用的安全性来说是不够的。显然，银行/金融应用程序可能希望通过双因素身份验证等方式走得更远。
-
我正在实现一个需要身份验证的REST服务。我正在使用JWT。 现在，Android应用程序在登录时发送一个请求，获得一个令牌，并且必须在每个后续请求的头中发送令牌。 我的问题是，如何存储令牌，或者我应该将其存储在哪里？ 共享偏好 SQLite数据库 归档 最好的做法是什么？还是我完全错了？
-
我正在使用vue.js和vuex开发一个应用程序，它使用JWT令牌对JSON API服务器进行身份验证。所以我想知道存放JWT代币的最佳做法是什么？ 如果我将其存储在vuex商店中，则页面刷新后它会丢失，因此用户需要再次登录，这不是很方便。 如果我将其存储在浏览器的本地存储中，它会在下次登录之前被弃用，然后假设身份验证令牌的组件会混淆。我不知道如何处理这个问题。 感谢你对此的暗示。
-
我正在尝试使用 GraphQL 使用 JWT 对用户进行身份验证。登录用户后，我会收到令牌作为 JSON 响应和存储刷新令牌的 httponly cookie。（服务器端使用的是销售核心） 从Saleor的文档和其他一些博客帖子中，我假设这个响应cookie现在应该存储在浏览器中，每当我需要刷新令牌时，cookie refreshToken将用于验证我的请求。然而，当我在开发工具中将选项卡切换到“
-
问题内容： 我正在使用ExpressJS，Mongodb（Mogoose）构建应用程序。应用程序包含访问用户之前必须对其进行身份验证的路由。 目前，我已经编写了一个快速的中间件来做同样的事情。在这里，借助JWT令牌，我正在进行mongodb查询以检查用户是否已通过身份验证。但是感觉这可能会在我的数据库上增加不必要的请求负载。 我应该针对此特定任务集成redis吗？ 会改善API性能吗？还是应该继续
-
我使用带有Angular 9的Spring boot和无状态会话实现。应用程序正在成功执行登录和注册功能。字符串引导在每个登录请求上生成令牌(JWT)。登录后，当我尝试运行第二个选项卡的应用程序时，它再次要求我登录。为了克服这个问题，我将令牌保存在LocalStorage，然后在单击另一个选项卡时，angular代码能够从LocalStorage中选择令牌。但是经过一些研发，我知道应该使用HTTP
-
在阅读了以下内容之后：JWT：什么是好的密钥，以及如何将其存储在node.js/express应用程序中？关于如何存储“密钥”以分配JWT令牌。我有安全问题。我的数据（消息，用户名等...）将被加密（在数据库中），只有授权用户才能解密（基于他们的私钥）。由于JWT令牌是使用存储在服务器上的1个“秘密密钥”生成的，所以如果攻击者获得了“秘密密钥”并获得了数据库的控制权，则可以伪造令牌，因此可以绕过“