cookies - JWT + cookies + HTTPS + CSRF

Question

我已经在移动应用程序上使用了 JWT，但我将第一次在网站上实现它以进行身份​​验证，但我仍然有一点不明白:

• 如果我将 JWT token 与 localStorage 一起使用，则可能发生 XSS 攻击
• 如果我将 JWT token 与 cookie 一起使用，则可能会发生 CRSF 攻击

...，但是如果我通过 HTTPS 使用 JWT token ，并使用 httpOnly+secure cookies 且 token 生命周期为 1 个月，那么在这种情况下，CSRF 攻击是否仍然可能？

我在网络上看到了带有 cookie 的自定义 token 或带有 localStorage 或 JWT 的自定义 token ，但我没有明确得到 httpOnly+secure cookie + JWT + HTTPS + CSRF 需求的答案。

Answer 1

如果您使用 JWT 作为身份验证 token ，则应将其存储为标记为 httpOnly 和 secure 的 cookie，而不是使用本地/ session 存储。正如您提到的，这可以防止 XSS 攻击，我们担心恶意 JavaScript 会被注入(inject)我们的页面并窃取我们的 session token 。

• 标记为 httpOnly 的 Cookie 无法被 JavaScript 读取，因此无法在 XSS 攻击中被窃取。
• 但是，本地/ session 存储可以由 JavaScript 读取，因此将 session token 放在那里会使其容易受到 XSS 攻击。

但是，将 session token cookie 设置为 httpOnly 和 secure 仍然会让您容易受到 CSRF 攻击。要了解原因，请记住 Cookie 标有其来源域，并且浏览器仅发送与请求发送到的域相匹配的 Cookie(与请求页面的域无关)。请求是从)发送的。例如，假设我在一个选项卡中登录 stackoverflow.com，并在另一个选项卡中登录 evil.com。如果 evil.com 对 stackoverflow.com/delete-my-account 进行 ajax 调用，我的 stackoverflow 身份验证 token cookie 将被发送到 stackoverflow 服务器。除非该端点能够防范 CSRF，否则我的帐户将被删除。

有一些技术可以防止 CSRF 攻击。我建议阅读this OWASP page CSRF攻击及防范。