spring-boot - JWT 令牌安全

Question

由于 JWT 令牌通过标头发送以验证使用，用户只需检查 chrome 开发工具中的 Web 调用并复制粘贴令牌并使用它来访问公开的 API。

例如，如果我使用此令牌创建记录，恶意用户可以使用相同的令牌（通过使用上述方式）在数据库中创建新记录。

我怎样才能阻止这种情况发生？是否使用带有服务器公钥的令牌加密来阻止这种情况？

标签： spring-bootspring-securityjwt

Answer 1

Token 代表用户身份。这是正常的，用户可以查看自己的令牌。令牌在服务器上验证。通常没有简单的方法来伪造令牌。使用不能自己生成新令牌。

浏览器和服务器之间的通信应该通过 TLS 完成。然后没有第三方将能够看到令牌。

如果您的用户将其浏览器的访问权限授予其他人，那么是的，其他人可能会访问令牌并稍后在另一台计算机上使用它，如果此令牌尚未过期。但这并不特定于令牌，这就像将您的密码访问权限授予 smb else。