Node.js无护照认证: are json web tokens reliable?

Question

我正在使用 MEAN 堆栈，并希望确保某些路由具有经过身份验证的用户。我一直在阅读 JSON Web token 。这似乎很合理。

在我投入更多时间之前，我想询问是否有其他人使用它，以及他们到目前为止是否注意到任何重大缺陷。除了护照之外还有其他流行的替代品吗？

Answer 1

JSON Web token 有几个缺陷，如果处理得当，可以使该方法对于执行授权非常有用:

• 客户端仍然需要将用户凭据传输到身份验证服务器，这意味着使用安全传输至关重要
• 如果敏感信息被放入 token 中，则该信息应由客户端加密并通过安全传输发送
• 根据您构建 token 的方式以及与谁共享 token ， token 应具有有限的生命周期，以防止其他人自 token 生成以来对其进行解构并可能向服务器发送伪造的数据

除了 passport 之外，肯定还有其他基于 cookie 的身份验证方法，但我不知道有任何方法集成和普及，但我确信您可能会找到更有效的方法。还有其他基于 cookie 的方案示例可供您实现，例如 auto-login scheme来自SO。

如果你想花时间学习如何实现 JWT，那绝对是值得的。如果您尝试评估是否需要使用 JWT，一个好的经验法则是询问自己是否有多个身份验证服务器，是否需要跨多个不同域授权客户端，以及是否需要客户端拥有无状态/临时授权 token 。