前端和后端的JWT令牌策略

Question

什么应该是我的JWT身体的一部分？我在想uid和提供者提供了访问令牌。我在这里可以想到的一个问题是，提供程序特定的访问令牌可以更改。用户可以从提供商的站点撤消令牌，并再次使用emberjs注册。

我愿意在任何其他javascript客户端框架中编写前端，如果它使它更容易的话。

Answer 1

如果我们讨论的不仅是工作身份验证，而且是安全的无状态身份验证，则需要考虑使用access和refresh令牌的适当策略。

>

访问令牌是提供对受保护资源的访问的令牌。过期这里可能大约在1小时内安装（取决于您的注意事项）。

刷新令牌是一种特殊的令牌，当访问令牌过期或用户会话更新时，应使用它生成附加的访问令牌。显然，您需要使其长期存在（与访问令牌)并尽可能地安全。过期这里的安装大约需要10天甚至更长时间（也取决于您的注意事项）。

这些代币存放在哪里？

常见的地方基本有2个：

1. HTML5 Web存储（localstorage/sessionstorage)

关于智威汤逊本身的几句话：

为了说明这一点，Auth0 Guys提供了非常酷的JWT调试器。常见的声明类型有2种（有时为3种）:public、private（和保留）。

JWT正文的一个示例（有效负载，可以是您想要的任何负载）：

{     
  name: "Dave Doe",
  isAdmin: true,
  providerToken: '...' // should be verified then separately
}