JWT&OAuth2-服务器是否存储令牌？它们如何安全/黑客安全？

Question

在安全和身份验证策略方面，我完全是个笨蛋。所以我阅读了这篇关于“基于令牌的身份验证”的文章：https://scotch.io/tutorials/the-ins-and-out-of-token-based-authentication

>

我不明白为什么中间人（或黑客）不能看到客户端发送的令牌，并使用令牌冒充该客户端/个人来检索资源？在这种意义上，什么使基于JSON Web令牌/OAuth2的身份验证更安全？如果我们每次都使用一次只使用的令牌，我会理解即使黑客可以读取令牌，他也不能使用它来进行另一个请求。但是，由于令牌在过期之前保持不变，这又是一种安全的身份验证策略吗？

服务器如何知道客户端发送的令牌是有效的，即服务器在登录期间与客户端交换的东西。服务器是否将生成的令牌存储在数据库或某个地方，并不断更新“上次访问时间戳”或其他东西，并不断删除last_html" target="_blank">accessed_time大于1小时之前的令牌，以在不活动1小时后使其过期？

Answer 1

我不明白为什么中间人（或黑客）不能看到客户机发送的令牌，并使用令牌冒充该客户机/个人来检索资源？

JWT不能保护您免受中间人(MITM)攻击。如果攻击者获得有效令牌，则可以有效地模拟。即使内容是加密的。

JWT应与SSL/TLS连接一起使用，以避免MITM

在这种意义上，什么使基于JSON Web令牌/OAuth2的身份验证更安全？

但是，由于令牌在过期之前保持不变，这又是一种安全的身份验证策略吗？

读上面。你需要保护你的令牌不被盗取：主要使用HTTPS，或者减轻它的影响：用HttpOnly存储在Cookie中（如果你不需要访问客户端的JWT内容），设置短的过期时间，轮换令牌...

服务器如何知道客户端发送的令牌是有效的，即服务器在登录期间与客户端交换的东西。

它是不需要的。签名打包在令牌本身(ssss)中，因此可以说JWT是自包含的

服务器有一个加密密钥或一个密钥对（公钥和私钥）。令牌用秘密密钥签名并验证（对于HMAC对称密钥），或者用私钥签名并用相应的公钥验证（对于RSA非对称密钥）。