基于令牌的身份验证的JWT与Cookie

Question

我读了一些关于“JWT vs Cookie”的帖子，但它们只会让我更加困惑……

>

我想澄清一下，当人们谈论“基于令牌的身份验证与cookie”时，这里的cookie仅指会话cookie？我的理解是，cookie就像一个介质，它可以用来实现基于令牌的身份验证（在客户端存储可以识别登录用户的东西）或者基于会话的身份验证（在客户端存储与服务器端会话信息匹配的常量）

为什么我们需要JSON web令牌？我使用标准cookie实现基于令牌的身份验证（不使用会话id、不使用服务器内存或文件存储）:set-cookie:user=innocent；Preferred-color=Azure，我观察到的唯一区别是JWT同时包含有效负载和签名...而您可以在http头的签名或明文cookie之间进行选择。在我看来，签名的cookie(cookie:'time=s%3a1464743488946.wvsjxbcspog3aigi4zcmmr9ybdvs%2b6ob2f3og6%2fycjm')更节省空间，唯一的缺点是客户端不能读取令牌，只有服务器才能读取...但我认为这没有问题，因为就像JWT中的声明是可选的，令牌不一定有意义

Answer 1

承载令牌和cookie最大的区别是浏览器会自动发送cookie，在这里需要将承载令牌显式添加到HTTP请求中。

此特性使Cookie成为保护网站安全的好方法，用户可以在网站中使用链接登录并在页面之间导航。

浏览器自动发送cookie也有一个很大的缺点，那就是CSRF攻击。在CSRF攻击中，恶意网站利用浏览器会自动将身份验证Cookie附加到该域的请求这一事实，欺骗浏览器执行请求。