java - 如何通过 JWT 跟踪用户的会话而不将其存储为 cookie 或 localStorage/sessionStorage

Question

我在几个地方读到不建议将 JWT 存储在浏览器中，无论是在存储中还是作为 cookie。即使是这样，对于我正在开发的当前应用程序，我们将 JWT 存储在 java servlet 上，并使用单独的 React 应用程序作为前端。

我在想我可以在 cookie 中给每个用户一个 ID，然后通过比较关联的 JWT 来检查他们的会话是否仍然有效。

是否有一些推荐的方法来跟踪用户与 JWT 的会话，而无需在任何时候实际将 JWT 发送给用户？我尝试的每一次搜索都会导致十几篇文章告诉我不要将 JWT 发送到浏览器并将其存储在那里，但我并不打算这样做。我想避免不得不处理维护用户会话的多种方法，而 JWT 在这一点上不是可选的。

标签： javareactjssessionjwt