c# - JWT 有什么安全保障？

Question

我正在使用 JWT 来生成和使用 token 。经过数周的阅读规范和谷歌搜索后，我仍然不明白:如果我可以在一台机器上生成 token 然后在另一台机器上打开它，那么 token 有什么安全保障？书面 token 是否应该以某种方式加密？我正在使用 System.IdentityModel.Tokens 并使用 JwtSecurityToken 和 JwtSecurityTokenHandler 创建 token 。

请问有人能给我指出一个主要解释安全方面的主题的重点文档吗？

Answer 1

JWT 的前两段未加密，因此任何在服务器上生成 JWT 并将其发送回客户端的应用都应通过 SSL 进行。这通常作为对登录请求的响应发送给用户，无论如何都应该通过 SSL 发送，因为它通常包含用户名和密码组合。发送到服务器的后续请求也应该通过 SSL 完成，因为无论您使用哪种 token ——无论是 JWT 还是其他东西——它都不应该以未加密的形式被数据包嗅探看到，否则用户 session 可能被劫持。

JWT 的安全方面来自第三个也是最后一个部分。它是通过使用只有服务器知道的 key 对前两个段进行签名生成的。当服务器生成的 JWT 作为经过身份验证的请求的一部分发送回该服务器时，服务器知道 key ，因此可以验证第三段中的签名并使用该签名来确保前两段自此以来未被修改由服务器签名。