JWT/JSON Web令牌：在创建时在正文中传递令牌是否安全？

Question

我是智威汤逊的新手。我有一个会话创建的endpoint。我的手机应用程序提出了一个请求。目前我有它，这样当用户成功登录时，我会在授权承载头中返回JWT：

new_conn
|> put_status(:created)
|> put_resp_header("authorization", "Bearer #{jwt}") #<-----------
|> render("show.json", session: user)

然而，从我的客户端阅读这是一个有点棘手的问题。我在JSON响应中返回它安全吗？

Answer 1

当客户机将它们的凭据发送到服务器（将它们交换为令牌）时，最近发出的令牌可以作为文本或JSON在响应负载中返回，这取决于您：

HTTP/1.1 200 OK
Date: Wed, 19 Apr 2017 09:51:12 GMT
Content-Type: text/plain

xxxxx.yyyyy.zzzzz

HTTP/1.1 200 OK
Date: Wed, 19 Apr 2017 09:51:12 GMT
Content-Type: application/json

{ "token" : "xxxxx.yyyyy.zzzzz" }

您必须记住的是客户机和服务器之间的通信：必须通过HTTPS进行通信，以确保消息不会被篡改。

当客户机将令牌发送到服务器时，它应该在Authorization标头中发送（同样是通过HTTPS）：

GET /api/greetings HTTP/1.1
Host: example.org
Authorization: Bearer xxxxx.yyyyy.zzzzz