JWT的iat和exp值应该是多少？

Question

我正在使用一个API，它声明在每个请求的授权标头中使用JWT，并表示exp和iat不是可选的。如何确定应该为iat和exp使用哪些值？有关系吗？是什么阻止了我把时间设定在遥远的过去，并把时间设定在我喜欢的任何地方？

RFC7519说的是iat

“iat”（于发布）索赔确定了JWT发布的时间。该声明可用于确定JWT的年龄。其值必须是包含NumericDate值的数字。此声明的使用是可选的。

和exp

“exp”（到期时间）声明标识了到期时间，在此日期或之后不得接受JWT进行处理。“exp”索赔的处理要求当前日期/时间必须早于“exp”索赔中列出的到期日期/时间。

Answer 1

我想我会回答这个问题，以防别人遇到一些模糊的留档来指定这个。

事实上，在为服务器提供公钥之后，我需要创建JWT。在我的每个请求中，我将创建头、有效负载和签名，并将其作为授权发送。

简而言之，我可以将iss和exp设置为我想要的任何值：在服务器端没有任何方法来验证这一点。为了安全起见，不设置它以使令牌不会使用荒谬的exp值过期的唯一原因是。