无状态服务器和无服务器端呈现的cookie中的JWT身份验证

Question

我试图实现jwt在cookie中的auth在一个单页应用程序的反应前端，它与运行Express的各种节点微服务通信。

我这样做，因为它似乎存储的jwt在sesionstore使应用程序容易受到XSS。

然而，通过使用cookie，API现在容易受到csrf攻击。

传统上，csrf攻击是通过创建csrf令牌，将其存储在服务器会话中，然后将其呈现在隐藏的表单字段中来减轻的。然后，在提交表单时，csrf令牌的值将与服务器会话值进行检查，以检查它们是否匹配。

我不能使用这种方法，因为：-服务器是无状态的-没有服务器端渲染。

所以我不知道应该使用哪种csrf方法。我读过关于double submit方法的书，在这种方法中，您在每个ajax请求上提交一个csrf令牌，并在cookie中存储相同的值，然后服务器检查两者是否匹配。

然而，我不能在第一时间将初始csrf令牌放入html，因为没有服务器端呈现。

在没有服务器端呈现的无状态体系结构中，在具有csrf保护的cookie中实现jwt的最佳实践是什么？

Answer 1

只是不要将JWT令牌存储在cookie中

CSRF攻击是可能的，因为浏览器会发送带有HTTP请求的cookie，即使它们是由第三方网站上运行的脚本启动的。因此，evilsite。com可能会发送删除http://yoursite.com/items/1请求您的web服务。此endpoint要求您登录，但因为浏览器将发送为yoursite存储的任何cookie。com，如果身份验证是基于cookie的，那么将访问该站点。com可以利用您的身份验证方法，调用您的用户不打算代表他们调用的身份验证方法。

然而，身份验证不一定是基于cookie的。如果您正在创建一个客户端渲染的JavaScript应用程序，那么将身份验证令牌作为HTTP头而不是cookie发送是很简单的。如果您这样做，那么evilsite.com就不可能使用您的令牌（他们只能使用存储在cookie中的令牌），而且您从一开始就没有问题。