JWT验证了另一个浏览器中使用的令牌

Question

我有一个项目设置（前端角）和后端（Laravel 5.6），我做了一个api调用，通过后端登录使用JWT（用于身份验证）在无效的情况下，错误消息返回，这似乎可以，但在正确的凭据令牌的情况下返回必须保存在客户端（使用本地存储）我复制然后令牌保存在本地存储，并试图从不同的机器和不同的浏览器登录也从两种情况下用户登录并重定向到仪表板。

我必须限制用户登录和重定向我如何才能做到我做错了什么？

Answer 1

这是安全令牌的主要问题之一：如果攻击者拦截令牌，他可以从其他浏览器或应用程序使用它。这就是为什么强烈建议设置非常短的生存期（expclaim）

但希望RFC8471、RFC8472和RFC8473最近获得批准。这些规范允许将令牌绑定到HTTPS或HTTP连接，使得上述攻击实际上不可能发生。

在撰写本文时，浏览器并未广泛采用此功能。EDGE支持它（草稿版），Firefox或Chrome不支持移动。