将签名的cookie与JWT表示为用于身份验证的cookie

Question

首先，我要说，这不是客户端令牌与服务器端会话引用的问题。我理解这些差异，我已经决定采用无会话的实现方式。

我还决定使用cookie来实现客户端的持久性和传输，而不是使用localStorage、query param、auth headers等。

好了，现在我考虑两种在客户端上保存用户ID的方法。两者都可以通过数据签名防止篡改。

Express有一个中间件可以启用签名cookie，或者我可以使用一个JWT来签名数据（我仍然会通过cookie发送）。

到目前为止，我的想法是使用签名cookie，它的处理开销更小，并且做了特定的事情，我不一定需要嵌套json格式的数据。此外，我仅将其用于对Web服务器上的用户进行身份验证，而不是API或其他授权。我不需要公私非对称密钥验证。

JWTs是很好的标准，我已经将其用于OAUTH，但对于我的站点auth，我不需要一些好处。例如，我不需要它来实现可转移性。我不会有不同的sig算法或令牌类型。

然而，我很欣赏JWT是一个公认的标准，并且有很多支持/文档。

为什么我应该选择使用JWT进行网站授权和客户身份验证，我是否有什么遗漏？

顺便说一句，在发布问题之前，我已经对此进行了研究。这里有一个非常相似的，JWT vs cookie用于基于令牌的身份验证

然而，由于以下几个原因，得票最多的答案并不适用。主要是，我已经决定是否为JWT使用cookies。我将使用具有sameSite等选项的Cookie来防止CSRF攻击，以及：expires、secure、httpOnly和signed（这是express特有的）。

Answer 1

到目前为止，我的想法是使用签名cookie，它的处理开销更小，并且做了特定的事情，我不一定需要嵌套json格式的数据。此外，我仅将其用于对Web服务器上的用户进行身份验证，而不是API或其他授权。我不需要公私非对称密钥验证。

通过使用cookie解析器的签名选项，您的cookie看起来像：user\u id=111。base64Signature这里的主要问题是您的令牌上没有过期标记，因此即使您在cookie上设置了过期标记，如果cookie以某种方式被盗并被使用，您的服务器也会接受这些请求。解决方案是在令牌本身上添加时间戳。因此，现在您的负载可能会转换为json，如下所示：

{
   userId: 111,
   exp: 1637437857
}

cookie：<代码>标记=“{”userId“：111，“exp“：1637437857}”。Base64签名。因此，如果您对有效负载进行base64编码，那么这里与JWT的唯一区别就是头：token=header。有效载荷。签名。

在性能方面，您将获得相同的结果（如果对负载使用json格式），因为创建hmac的方法是节点的加密。createHmac，在express中间件和使用对称签名的通用jwt库（jsonwebtoken/express jwt）中使用。

我认为如果您决定实施过期，JWT格式将使您能够使用不同的库并获得免费的验证检查（这在cookie解析器中间件中似乎缺乏），如果您不需要这样做，那么您的解决方案将完成这项工作。