jwt - JWT 可以与移动应用程序一起使用吗？JWT 是 session 替代品吗？

Question

关于JWT(json web token)的一些问题:

1. 可以在手机上使用吗？

在我看来，它适用于移动设备，但它是否是一个很好的身份验证解决方案？如果不是，还有哪些其他解决方案可用于移动应用程序和服务器之间的身份验证？

1. 它是 session 的替代品吗？

一般情况下，session会存储一些敏感数据，在jwt中是做不到的(不能在jwt payload中存储敏感数据，因为不安全)。

在我看来，敏感数据只能存储在其他地方，比如redis。但是这样想，jwt和session有什么区别呢？我现在很迷茫。

Answer 1

首先，您不应将任何敏感数据放入您的 JWT 负载中。 JWT 是一种访问 token 格式，用于安全地交换声明信息，主要用于授权，基于 HMAC 或使用 RSA 的公钥/私钥对。 JWT 还用于信息交换以安全地传输信息。

Can it work with mobile?In my opinion, it works with mobile, but is it a good solution for authentication? If not, what other solutions can be used for authentication between mobile app and server?

你是对的。它适用于所有类型的移动应用程序(原生、html5、混合)。另一种选择是 OAuth。但请记住，JWT 仅定义可用于授权的访问 token 。

Is it a session's replacement?

我假设您是指 sessionStorage/cookies？然后 JWT 它不是替代品。

In a general way, session will store some sensitive data, it can not do this in jwt(can not store sensitive data in jwt payload, because it is unsafe).

正如我已经写过的，您可以通过 JWT 加密您的有效负载并交换敏感数据。

In my opinion, sensitive data can only be stored in other places, like redis. But think it like this, what diffence between of jwt and session? I am very confused now.

它们是两个不同的东西。 Redis和sessionStorage/cookies都是数据结构，用来存储(用户/session相关的)数据。 JWT 是一种身份验证机制。