使用jsonwebtoken的登录安全性

Question

我目前正在使用React在一个网站上工作，我希望能够有用户登录。现在，我的策略是在提交时将表单数据发送到服务器(express)，如果信息与我的数据库中的用户匹配，服务器将发回一个签名的JWT，其中没有敏感信息（只有用户名）。

一旦客户机接收到JWT，我就将它添加到localStorage中，并将它的解码数据添加到redux存储中。我计划让我的redux存储当前登录的用户。

if(localStorage.jwtToken) { // If token present, most likely a user is signed in

  setAuthorizationToken(localStorage.jwtToken) // Set that token to head all api calls

  store.dispatch(setCurrentUser(jwt.decode(localStorage.jwtToken))) // Set user in redux store
}

Answer 1

另一个人怎么能得到你的代币？给出令牌所需的过期时间。可以尝试不同的方法来保护令牌，特别是在API端提供更多的安全性。登录时，在数据库中存储日志活动，并创建唯一的字段来标识其ip地址或用户代理，或者检测用户以前是否击中登录endpoint。