ajax - 使用 AJAX 时带有承载令牌的 JWT 可防止 CSRF 和 XSS

Question

我有一个 webapp，它有一个 javascript 页面，可以让 ajax 调用 web 服务。该站点使用的授权方案是 JWT，授权标头中使用了不记名令牌。

但是，我现在意识到我很容易受到 XSS 的攻击，因为令牌存储在 cookie 中，并且 javascript 需要访问它才能在其请求中设置不记名令牌。因此，httponly 设置为 false，这意味着我的令牌可能被盗。

那么，我想知道的是，在使用 ajax 请求和 JWT 的同时，是否有办法同时防止 CSRF 和 XSS？

标签： ajaxjwtxsscsrf