node.js - 将身份验证保存在浏览器的本地存储中

Question

我正在将 Node Express 与 EJS 结合使用。我已经使用 JWT 构建了用户身份验证，并使用以下代码将生成的 token 存储在 Cookie 中

res.cookie('authorization', token, {maxAge: 3 * 60 * 60 * 1000});

与验证时相同，我可以很容易地从 cookie 中读取它

req.cookies['authorization'];

使用这种方法，我不必在前端执行任何与身份验证相关的代码。但我在某处读到，最佳实践是将其存储在浏览器的本地存储中。

localStorage.setItem("authorization", "..object..");

这段代码似乎是前端代码。这意味着我必须将 token 发送到前端，然后将其保存到 localStorage。

可以在不向前端发送 token 的情况下完成此操作吗？

Answer 1

您使用 cookie 工作得很好。要使用本地存储，您需要将 token 发送回前端(经过验证)并将其附加到每个后续请求中。本地存储可以通过javascript访问，并且容易受到xss攻击。 最好使用带有 HTTPOnly 标志的 cookie。