主要使用JWT的无状态身份验证真的安全吗？

Question

我一直有一个问题，即JWT是否真的安全？因为在对声明和有效载荷进行编码时，我们可以很容易地对令牌进行解码，并且在那里的网站上也很好地给出了这种解码。所以我的观点是，任何人都可以简单地使用burpsuite之类的工具更改auth头，并提供一些其他有效的令牌，对假用户进行身份验证。按照许多人的建议，将令牌存储在本地存储中也可能不太安全。所以我的问题是，与加密的cookie或会话相比，它真的是安全的吗？无状态身份验证的好处是什么。？我读了很多文章，说JWT适合单页应用程序。这是真的吗？

Answer 1

访问令牌通常在调用者出示其硬凭据（如用户名和密码）后颁发。要访问受保护的资源，调用方需要向服务器发送访问令牌，以便对每个请求执行身份验证。

在Web应用程序中，访问令牌不应由JavaScript访问，也不应存储在本地存储中。相反，访问令牌应通过HTTPS连接发送并存储在设置了Secure和HttpOnly标志的cookie中：

4.1.2.5. 安全属性

安全属性将cookie的范围限制为“安全”通道（其中“安全”由用户代理定义）。当cookie具有安全属性时，仅当请求通过安全通道传输时（通常是HTTP over Transport Layer Security（TLS）），用户代理才会在HTTP请求中包含cookie。[...]

4.1.2.6. HttpOnly属性

HttpOnly属性将cookie的范围限制为HTTP请求。特别是，该属性指示用户代理在通过“非HTTP”API（例如将cookie公开给脚本的Web浏览器API）提供对cookie的访问时省略cookie。[...]

在JWT中，有效负载是编码为Base64的JSON字符串。因此它不适合存储敏感详细信息，例如密码。

签名令牌允许服务器执行无状态身份验证，也就是说，只需检查访问令牌内容就可以知道用户是谁。服务器将不依赖外部服务对用户进行身份验证。

JWT令牌应该使用强加密密钥（必须在服务器上保持安全）签名，并且在信任令牌之前必须检查签名。