node.js - Cookie 中的 JWT 身份验证，具有无状态服务器且无服务器端渲染

Question

我正在尝试在 cookie 中实现 jwt，以便在单页应用程序 react 前端上进行身份验证，该前端与运行 Express 的各种 Node 微服务进行通信。

我这样做是因为将 jwt 存储在sessionstorage 中似乎会使应用程序容易受到 XSS 攻击。

但是，通过使用 cookie，API 现在很容易受到 csrf 攻击。

传统上，通过创建 csrf token 、将其存储在服务器 session 中，然后将其呈现在隐藏的表单字段中，可以缓解 csrf 攻击。然后，在提交表单后，将根据服务器 session 值检查 csrf token 的值以检查它们是否匹配。

我不能使用这种方法:- 服务器是无状态的- 没有服务器端渲染。

所以我很困惑应该采用哪种 csrf 方法。我读过双重提交方法，您在每个 ajax 请求上提交一个 csrf token ，并将相同的值存储在 cookie 中，然后服务器检查两者是否匹配。

但是，我无法首先将初始 csrf token 放入 html 中，因为没有服务器端渲染。

在没有服务器端渲染的无状态架构中，在具有 csrf 保护的 cookie 中实现 jwt 的最佳实践是什么？

Answer 1

不要将 JWT token 存储在 cookie 中

CSRF 攻击是可能的，因为浏览器会通过 HTTP 请求发送 cookie，即使它们是由在第 3 方站点上运行的脚本发起的。因此evilsite.com可能会发送 DELETE http://yoursite.com/items/1向您的网络服务发出请求。此端点要求您登录，但因为浏览器将发送为 yoursite.com 存储的任何 cookie ，如果身份验证是基于 cookie 的，则 evilsite.com可以利用您的身份验证方法并调用您的用户不打算代表他们调用的经过身份验证的方法。

但是，身份验证不必基于 cookie。如果您正在创建客户端呈现的 JavaScript 应用程序，那么将身份验证 token 作为 HTTP header 而不是在 cookie 中发送很简单。如果你这样做，那么 evilsite.com 是不可能的使用您的 token (他们只能使用存储在 cookie 中的 token )，并且您从一开始就不会遇到问题。