我知道这个问题不是什么新鲜事，可能已经在互联网上讨论过。
我是新手，但经过一些研究，我同意它是安全的，因为匿名可以嗅探令牌但无法在其上附加任何内容。我计划将 JWT 存储在 HTML5Storage 中，并解码有效负载以获取一些不敏感信息：DisplayName、email_address 和 role_info 等。
这是我的问题，匿名者可以嗅探我的 JWT 令牌并代表我行事吗？
如果可能的话，我该如何避免这种情况？
简而言之，JWT 本身并不安全，它只是明文。 JWT 的基本术语是一种标准协议，用于定义信息（也称为各方之间传递的声明）。与 JWS（签名）和 JWE（加密）结合将使其安全。最重要的主题是 JOSE - Javascript 对象签名和加密。除了阅读您应该参考的 RFC 本身之外，网上还有大量信息，但没有说明明显的内容，也没有侮辱您的搜索能力。查看http://jose.readthedocs.io/en/latest/（包括 RFC 的参考链接）
因此，要回答您的问题，如果在飞行（通过网络）和静态（即：数据库）时使用行业安全标准进行签名和加密，是的，它是安全的。
在欺骗方面，您需要在会话劫持和/或令牌劫持领域以及预防彩虹表等方面预先采取预防措施。
JOSE确实只是一个标准，无论什么标准，你真正要问的是安全措施的最佳实践，你也应该参考OWASPhttps://www.owasp.org/
这有助于澄清你的问题吗？
本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)
