基于json web的令牌在服务器端的验证流程
1）是否有一个SSL缠绕在它周围？如果没有人可以劫持令牌并将其发送到服务器和用户模拟客户端
2)在步骤5中，只检查完整性，从令牌解密的有效负载数据不会根据DB（例如用户名）进行验证，是否应该验证，或者一旦完整性得到确认，我们就可以确定令牌是有效的，应用程序可以授予客户端访问权限？
3)是#secret#只为服务器所知，只用于验证有效负载没有被篡改吗？我想是这样，否则可能发生用户模拟。
共有1个答案
你描述的流程是正确的。你实际上已经回答了你自己的问题。
1）是否有一个SSL包裹在它周围？如果没有，任何人都可以劫持该令牌并将其发送到服务器和用户模拟客户端
是的，令牌必须受到保护，因为这是身份验证的证明。它只能通过SSL/TLS连接进行交换
3）#secret#是否只为服务器所知，并且只用于验证有效负载是否被篡改？我想是的，否则可能会发生用户模拟
是的，秘钥必须是“秘密”的。如果您使用对称HMAC密钥，它用于创建和验证令牌，所以如果您共享它，任何人都可以创建令牌
-
在服务器上验证令牌的正确方法是什么？ 我正在我的应用程序中使用jwt令牌机制，下面是它目前的工作方式： null null
-
问题内容： 我有一个REST API，我正在使用Spring Security基本授权进行身份验证，客户端会为每个请求发送用户名和密码。现在，我想实现基于令牌的身份验证，当用户最初通过身份验证时，我将在响应标头中发送令牌。对于进一步的请求，客户端可以在令牌中包含该令牌，该令牌将用于对资源进行用户身份验证。我有两个身份验证提供程序tokenAuthenticationProvider和daoAuth
-
在daoAuthenticationProvider中，我设置了自定义userDetailsService并通过从数据库中获取用户登录详细信息对其进行身份验证（只要使用授权传递用户名和密码就可以正常工作：basic bgllqxbpvxnlcjogn21wxidmqjrdturtr04pag==作为头） 但是当我使用X-AUTH-TOKEN（即constants.auth_header_name)
-
我从spring boot oauth2服务器生成JWT令牌，但当我想使用endpoint验证此JWT令牌时，我将post请求发送到此endpoint，并将JWT包含在授权头中，得到401-未经授权的http错误代码。 我从服务器得到的结果是： 为什么oauth服务器返回401？ 下面是我对oauth服务器的实现：
-
问题内容： 我正在PHP Lumen中构建一个应用程序，该应用程序在登录时会返回令牌。我不知道如何继续进行。 我应该如何使用这些令牌维护会话？ 具体来说，如果我使用reactjs或原始HTML / CSS / jQuery，如何将令牌存储在客户端，并在我为Web应用程序的安全部分提出的每个请求中发送令牌？ 问题答案： 我通常要做的是将令牌保留在本地存储中，这样即使用户离开站点，我也可以保留令牌。
-
我读了一些关于“JWT vs Cookie”的帖子，但它们只会让我更加困惑…… > 我想澄清一下，当人们谈论“基于令牌的身份验证与cookie”时，这里的cookie仅指会话cookie？我的理解是，cookie就像一个介质，它可以用来实现基于令牌的身份验证（在客户端存储可以识别登录用户的东西）或者基于会话的身份验证（在客户端存储与服务器端会话信息匹配的常量） 为什么我们需要JSON web令牌？