javascript - 使用过期的 jwt 处理自动登录

Question

我们有一个 Web 应用程序并使用 JWT 作为身份验证 token 。 token 是有效的，例如1天。如果用户在这段时间内重新登录， token 将在 localStorage 中更新，一切都会很好。

如果用户没有在该时间内登录，我们希望提供某种自动登录功能，以防止用户每隔一天登录一次。

简单的解决方案是将凭据存储在 localStorage 中，但这似乎不太安全。

还有其他方法可以解决这个常见问题吗？

Answer 1

您似乎想使用一种安全机制来更新另一种安全机制。如果它们都在同一个域上，那么您最好首先增加已发行 token 的有效期以匹配用例。存储未过期的凭证以便能够重新发行短期二级代币似乎不安全并且达不到目的。

但是，如果一个 token 是从另一个域颁发的，那么您将更多地了解单点登录场景。例如OpenID Connect has a facility (prompt=none) 供网站检查提供商的当前登录状态，并在无需用户交互的情况下获取新的(短暂的)辅助 token 。