javascript - JWT 如何在 localStorage 中被破坏？-6ren

javascript - JWT 如何在 localStorage 中被破坏？

转载作者：行者123 更新时间：2023-12-05 06:55:52

24

4

<分区>

我用谷歌搜索并阅读了很多关于 jwt 安全的文章。很多人说把token放在本地存储不安全。但实际上没有人给出一些 IN ACTION 的例子。例如 somoene 如何在本地存储中使用 jwt 进行 XXS 攻击？

我找到的唯一例子是这个:

https://www.youtube.com/watch?v=g21uHNIIewM

但他在 3:10 在这里解释的不是 xss 攻击，而是如果我无意中打开我的电脑时 somoene 访问我的电脑的可能情况，他可以从本地存储复制我的 jwt，保存它然后当他粘贴时到他家里的电脑，他可以访问所有内容，例如管理路由。

但是我没有找到这方面的例子，somoene 怎么能直接用 jwt token 做坏事。例如我有网络应用程序，用户需要注册并在登录后。我的 JWT 中有此有效负载，我将只向特定用户授予管理员 Angular 色(仅在开始时进行迁移，我将 admin true 授予某些用户，此后对于每个其他新注册用户，他都获得 admin - false )

{
  "name": "John Doe",
  "admin":false,
  "id":1
}

例如，当用户登录时，我将从服务器发送的 jwt 保存在本地存储中。

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiSm9obiBEb2UiLCJhZG1pbiI6ZmFsc2UsImlkIjoxfQ.GY9qxlilipXdndTGHWGcI-BDIkZFV5xjxOW-EVTHCQs

我有管理面板我正在为他们隐藏路由，如果用户 Angular 色不是管理员则阻止访问 - 所以首先我从存储的 jwt 中读取有效载荷

let token = localStorage.getItem('token');
let jwtObject = JSON.parse(atob(token.split('.')[1]))
// and i get
{name: "John Doe", admin: false, id: 1}

我检查路线

if(jwtObject.admin == true) {...};

假设一些用户想用我的网络应用程序做一些坏事。他注册，他登录，他得到 jwt 有效载荷管理员是假的。例如，他还可以查看他的 token

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiSm9obiBEb2UiLCJhZG1pbiI6ZmFsc2UsImlkIjoxfQ.GY9qxlilipXdndTGHWGcI-BDIkZFV5xjxOW-EVTHCQs

在本地存储。他如何做“某事”以便他可以自己更改有效负载 - 让 admin 为真，即使它是从服务器发送的 false，之后他就可以访问管理面板的所有路由？

我在这里也标记了 angular 和 react，所以我会听到更多人关于他们使用的 java 脚本工具的意见和例子。

24

4

0

文章推荐： c# - 使用 FlaUI 为电影和电视设置滚动百分比

文章推荐： Android 模拟器在 Ubuntu 20.04 上非常慢

【JWT】JWT 整合
1. JWT 简介 JSON Web Token（JWT）是一个开放标准（RFC 7519），它定义了一种紧凑的、自包含的方式，用于作为 JSON 对象在各方之间安全地传输信息。该信息可以被验证和信
jwt - JWT 可以与移动应用程序一起使用吗？JWT 是 session 替代品吗？
关于JWT(json web token)的一些问题: 可以在手机上使用吗？在我看来，它适用于移动设备，但它是否是一个很好的身份验证解决方案？如果不是，还有哪些其他解决方案可用于移动应用程序和服务器
jwt - JWT 中的秘钥是什么
我无法清楚地掌握 JWT 是如何工作的，尤其是。签名部分。一旦客户端提交正确的用户名和密码，身份验证服务器就会创建一个 JWT token ，其中包含 header 、有效负载/声明和签名。问题
jwt - jwt.io 从哪里获取 JWT token 的公钥？
我正在通过 jwt.io(在调试器部分)解码 JWT token 以查看标题、有效负载。令人惊讶的是，它还验证了，我可以看到它(jwt.io 调试器)也能够检索公钥。所以我的问题是:JWT toke
azure - 如何使用 validate-jwt 验证 jwt token 时检查错误(以前为 : How to use a custom built jwt in validate-jwt? )
我尝试使用 validate-jwt 策略限制使用 JWT token 对 REST API 的访问。以前从来没有这样做过。这是我的入站策略(取自简单 token 验证here):
jwt - Spring Security 无状态 JWT 身份验证 - 如何获取其他 jwt 字段？
我们有一个微服务架构，使用 JWT 在服务之间进行身份验证。我希望轻松地从 JWT 中获取更多字段。目前实际上只有权限由 Spring Security 直接公开。我们的边缘服务/API 网关创建以
c# - 使用 jose-jwt 和 jwt.io 生成的 JWT token
我正在尝试在 .NET 中生成 JWT token 。起初，我尝试使用“System.IdentityModel.Tokens.Jwt”，但它在 token 验证期间引起了问题，所以我切换到“jose
jwt - 手动计算 JWT 签名永远不会输出真正的签名
我已经阅读了很多关于 stackOverflow 和 jwt 文档的问题。据我了解，现在我应该如何计算 token : header = { "alg": "HS256", "typ": "J
jwt - JWT token 接受的最大过期时间是多少
我想知道我可以设置的 JWT token 到期的最大值是多少。谢谢! 最佳答案没有关于过期时间的规定。它主要取决于使用 token 的上下文。 RFC7519 section 4 : The se
jwt - 如何在多个子域之间共享 JWT token ？
我在子域上托管了单独的身份验证应用程序和多个 spa 应用程序，我想将生成的 JWT token (当用户从身份验证应用程序登录时生成)从身份验证应用程序共享到子域下托管的其他应用程序。我怎样才能
jwt - 如何使用在线工具手动验证 JWT 签名
据我所知，验证 JWT 签名是一个直接的过程。但是当我使用一些在线工具为我执行此操作时，它不匹配。如何在不使用 JWT 库的情况下手动验证 JWT 签名？我需要一种快速方法(使用可用的在线工具)来演示
jwt - JWT.io 是如何知道我的公钥的？
我的 JSON 网络 token (JWT): eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6InU0T2ZORlBId0VCb3NIanRyYXVPYlY4
jwt - 使用 JWT 的角色
我是 JWT 的新手。我对 JWT 进行了一些研究，并了解到它的框架是“header.claims.signature”。考虑一个简单的场景，如下所示: 客户通过身份验证客户可能具有(一个或多个)
jwt - JWT token 的最大大小是多少？
我需要知道的最大长度 JSON Web Token (JWT) 在规范中没有相关信息。难道，长度没有限制？最佳答案我也一直在努力寻找这个。我想说 - 尝试确保它低于 7kb。虽然 JWT 在规
jwt - JWT token 中允许使用哪些字符？
我看到 JWT token 由 A-Z、a-Z、0-9 和特殊字符 - 和 _ 组成。我想知道 JWT token 中允许的字符列表？最佳答案来自JWT introduction :“输出是三个用
jwt - Keycloak jwt 已过期
我正在使用 Jhipster 创建一个应用程序。为此，我想使用 Keycloak 身份验证服务器。但是，一旦我登录，就会收到以下消息:Statut : Internal Server Error (内
jwt - Keycloak jwt 已过期
我正在使用 Jhipster 创建一个应用程序。为此，我想使用 Keycloak 身份验证服务器。但是，一旦我登录，就会收到以下消息:Statut : Internal Server Error (内
jwt - 我可以使用 jwt 来存储用户的购物车商品直到结账吗？
我在我的网站上使用 MEAN 堆栈，用户可以在其中将带有玩家信息的事件(2-4/事件)添加到购物车。有时他们会购买多个事件。我希望此信息不会受到用户操纵(如果他们使用控制台，则在结帐前更改信息)，并且
jwt - 为什么 JWT 被分成三个点分隔的部分？
一个 JSON Web token (JWT) 被分成三个 Base-64 编码的部分，这些部分由句点 (“.”) 连接起来。前两部分对 JSON 对象进行编码，第一部分是详细说明签名和散列算法的 h
django - JWT token expire_delta 和 JWT Refresh Expiration Delta django jwt 的区别
我正在使用 django rest 框架 JWT 库 http://getblimp.github.io/django-rest-framework-jwt/ JWT token 过期有两个设置 JW

首页

博学

6Ren·AI

商城

javascript - JWT 如何在 localStorage 中被破坏？