java - Cookie 和 Jwt 以及何时使用它们

Question

我是 jwt 的新手，在阅读了一些文章后，我了解到我们可以将 jwt 存储在 cookie 中，并且 session 仍然可以是无状态的。对吗？，还有关于 csrf 攻击，因为在使用时cookies我们很容易受到csrf攻击，我们有防伪功能来解决csrf问题。现在我的主要问题 - 我不确定这是否正确，但是，当您为 Controller 实现 CrossOrigin 时，使用 cookie 存储 jwt 是否有一些特殊的缺点，即我的服务器应用程序位于不同位置的场景，我们正在我们位于另一个城市的客户端应用程序中调用 api 吗？这不是许多网络服务提供商不使用 cookie 的原因吗？

Answer 1

1. 是的，您可以将 JWT(实际上是 JWS)存储在 Cookie 中，并且 session 仍然是无状态的。
2. 是的，就 CSRF 而言，在 jwt 中使用 cookie 可能会存在很大的危险，但可以通过服务器控制 Referrer 和 Origin header 以及限制 Http Cookie 生命周期将其风险降至最低。

希望对您有所帮助。