security - JWT有多安全？

Question

我正在为项目安全而学习JWT，但是我有一个问题。如果我在登录后正确接收了 token ，但是其他地方的其他人(黑客)窃取了此特定 token ，他可以访问我的 session 吗？使用JWT身份验证的服务器能够检测到这一点并保护我吗？怎么样？

Answer 1

只有服务器应该知道用于生成JWT的“ secret ”。如果有人修改了JWT中包含的数据，则服务器将无法对其进行解码。因此，服务器可以信任它可以解码的任何JWT。

但是，如果黑客可以访问您的计算机，则他们可以看到存储在浏览器中的JWT并使用它。带有cookie的威胁同样存在，因此这并不是JWT的缺陷。

减轻这种威胁的一种方法是JWT的到期日期。对于银行应用程序，您的JWT可能会在几分钟后过期。对于Facebook，它可能会在几个月后过期。但是，如果有人可以访问您的浏览器，则没有防弹解决方案。

黑客的另一种方法是“中间人”攻击，以拦截客户端和服务器之间的网络流量并获取Cookie / JWT。为了避免这种情况，应始终通过HTTPS 发送 cookie / JWT。

重要编辑

最后，要回答标题中的问题“JWT有多安全？”:这取决于您存储 token 的方式。本地存储不如使用cookie(reference)安全，但是cookie可能会受到CSRF or XSRF攻击。

这个答案曾经说过JWT比cookie更安全，因为cookie容易受到CSRF攻击。但是将JWT存储在本地存储中也不安全。结果，我不再将JWT存储在本地存储中，而不再使用众所周知的技术来减轻CSRF攻击。