node.js - 我应该在哪里保存客户端的 JWT 以供将来请求？

Question

我的API在登录时向客户端返回一个 token ，而客户端每次向服务器发出请求时都需要将其放入 header 中。我应该在哪里保存这些 token ？如果保存在浏览器存储中，则任何人都可以复制并登录到客户的帐户

Answer 1

你是对的。将其存储在本地存储中并不安全。

JWT 需要存储在 HttpOnly cookie 中，这是一种特殊的 cookie，仅在 HTTP 请求中发送到服务器，并且永远无法从浏览器中运行的 JavaScript 访问它(无论是读取还是写入)。

您可以在这篇关于 JWT 最佳实践的文章中阅读更多相关内容。 https://logrocket.com/blog/jwt-authentication-best-practices/