JWT+cookies+HTTPS+CSRF

Question

我已经在移动应用程序上使用了智威汤逊，但我将第一次在网站上实现它来进行身份验证，我有一点我仍然不明白：

• 如果将JWT令牌与localStorage一起使用，就有可能发生XSS攻击
• 如果我将JWT令牌与cookie一起使用，就有可能发生CRSF攻击

Answer 1

如果您使用JWT作为身份验证令牌，它应该存储为标记为httponly和secure的cookie，就像使用本地/会话存储一样。正如您所提到的，这可以防止XSS攻击，在这种攻击中，我们担心恶意JavaScript被注入到我们的页面并窃取我们的会话令牌。

• 标记为httponly的cookie不能被JavaScript读取，因此不能在XSS攻击中被盗。
• 但是，本地/会话存储可以由JavaScript读取，因此将会话令牌放在那里会使其容易受到XSS攻击。

但是，使会话令牌cookiehttponly和secure仍然容易受到CSRF攻击。要了解其中的原因，请记住cookie是用它们产生的域标记的，浏览器只发送与请求发送到的域匹配的cookie（与发送请求的页面的域无关）。例如，假设我在一个选项卡中登录到stackoverflow.com，在另一个选项卡中登录到evil.com。如果evil.com对stackoverflow.com/delete-my-account进行ajax调用，我的stackoverflow身份验证令牌cookie将被发送到stackoverflow服务器。除非该endpoint对CSRF进行保护，否则我的帐户将被删除。

有防止CSRF攻击的技术。我建议阅读这个关于CSRF攻击和预防的OWASP页面。