javascript - Json Web Token 可以伪造或冒充吗？

Question

我已经在我的 react-native 项目中启动并运行了 JWT 身份验证。现在我发出的每个请求， token 都将作为 authorization 包含在 header 中。

据我了解，当服务器收到我的 token 时，它会被解码成如下内容:

{ sub: user.id, iat: timestamp, email: user.email }

然后服务器会根据那个user.id识别我。

但是因为header中只有token，header中没有userId，服务器怎么知道我真的是那个id的呢？假设黑客拿到了我的 token ，那么他可以伪装成我并与服务器对话吗？

Answer 1

防止此类 token 在传输过程中被盗的常用方法是通过传输级别安全性，特别是 SSL。在两个系统之间交换 token 之前，首先建立 HTTPS 连接。

还有其他潜在的解决方案也可用于防止 token 盗窃，例如 Token Binding Protocol和 Proof Key for Code Exchange by OAuth Public Clients .

为了提供额外的安全性， token 通常是有时间限制的。 Reference Tokens可以按需撤销，而不必等待它们超时。