javascript - 我应该在 2019 年将我的 JWT 存储在哪里，localStorage 真的不安全吗？

Question

有趣的话题。因为我正在使用 Node.js Api 和 React Redux Client 创建我的第一个真正更大的项目，所以我需要身份验证。

现在我不知道如何“正确地”处理身份验证。

因为我看了很多关于它的话题，但是意见不一。

所以一开始有些人立即说:不要将 localStorage 与 JWT 一起使用。

例如这里有一篇文章:https://dev.to/rdegges/please-stop-using-local-storage-1i04

这是来自 auth0 的另一篇文章:https://auth0.com/docs/security/store-tokens

但后来我更深入地研究了身份验证的广阔世界，我发现很多人都说:

"localStorage is as secure as a cookie"

比如从第一篇文章第一条评论，第三条回复(这里有一个链接:https://dev.to/jondubois/comment/373l)

我的意思是他说对了？在阅读了这篇文章和其他一些文章和评论之后，如果您不是一家拥有非常敏感数据的银行，那么将其存储在 localStorage 中是完全可以的。

所以我在 2019 年，不是初学者，也不是经验丰富的开发人员，我在问自己应该如何实现这个身份验证流程而不至于过于复杂(有将 jwt 存储到 httpOnly cookie 中的流程例如)，但另一方面也不是很容易破解。

我正在尝试创建一个论坛应用程序。您可以注册，创建自己的论坛，然后其他用户可以注册该论坛。基本身份验证，我只使用 JWT 发送 user_id 和 token 。

非常感谢你们的意见和建议。

Answer 1

我也在寻找这个答案，最后，我找到了关于 JWT token 安全性的非常有趣和有用的文章，即:
- https://security.stackexchange.com/questions/179487/store-splitted-jwt-for-csrf-protection-and-refresh-strategy
- https://medium.com/@jcbaey/authentication-in-spa-reactjs-and-vuejs-the-right-way-e4a9ac5cd9a3
TL;DR 你应该将 token 的第一部分存储在带有 httpOnly: true 参数的 cookie 中，将 token 的其余部分存储在没有 httpOnly 参数的 cookie 中，并且 Javascript 可以在浏览器中使用你的JWT 载荷信息。