我必须将令牌存储在cookie、localstorage或session中吗？

Question

我正在使用React SPA、Express、Express-session、Passport和JWT。我对存储令牌的一些不同的客户端存储选项感到困惑:cookie、Session和JWT/passport。

是否必须将令牌存储在cookie中，即使我可以将它们存储在req.sessionid中？

 jwt.sign(
        payload,
        keys.jwt.secretOrPrivateKey, 
        {
            expiresIn:keys.jwt.expiresIn // < i dont know what is this expired for cookies or localstorage ?
        }, (err, token) => {

            res.redirect(keys.origin.url + "?token=" + token);
        });

我真的可以通过使用sessionID（没有cookie或localstorage）来存储与会话相关的所有内容吗？

只有做一次fetch，或者每一页刷新和检索数据，然后保存到redux，因为我使用React SPA。

Answer 1

这个答案基于无状态方法，因此它不讨论传统的会话管理

你问了两个完全不同的问题：

1. 购物车-与业务功能更相关
2. OAuth2&jwt-与安全性和身份验证有关

LocalStorage和SessionStorage不在子域之间共享。因此，如果我们有两个SPA在不同的子域上运行，我们将无法获得SSO功能，因为一个应用程序存储的令牌对组织内的另一个应用程序不可用。有一些使用iframe的解决方案，但它们看起来更像是变通办法，而不是好的解决方案。当响应标头x-frame-options用于避免使用iframe进行点击jacking攻击时，使用iframe的任何解决方案都是不可能的。

但是，可以通过使用指纹（如OWASP JWT备忘单中提到的）来降低这些风险，而指纹又需要cookie。

指纹的思想是，产生一个密码学上强的字节随机字符串。然后，原始字符串的Base64字符串将存储在httponly、secure、samesitecookie中，其名称前缀为__secure-。应该根据业务需求使用域和路径属性的正确值。该字符串的SHA256哈希也将在JWT的声明中传递。因此，即使XSS攻击将JWT访问令牌发送到攻击者控制的远程服务器，它也不能发送cookie中的原始字符串，因此服务器可以基于cookie的缺失拒绝请求。XSS脚本无法读取cookiehttponly。

1. 状态变量(Auth0使用它）-客户机将生成并随每一个请求传递一个密码学上很强的随机nonce，服务器将随响应回送该nonce，从而允许客户机验证该nonce。在Auth0文档中有解释。
2. 始终检查referer标头，并仅在referer是受信任域时接受请求。如果referer header不存在或非白名单域，只需拒绝请求。使用SSL/TLS时，通常会出现引用器。登陆页面（主要是信息性的，不包含登录表单或任何安全内容）可能会很放松，并允许缺少referer标题的请求。
3. 跟踪HTTP方法应在服务器中被阻止，因为该方法可用于读取httponlycookie。
4. 还设置标题strict-transport-security:max-age=；IncludeSubDomains只允许安全连接，以防止任何中间人从子域覆盖CSRF cookie。