spring - 在对用户进行身份验证时，我可以在标头中将第一个 jwt 以及在正文中的相关数据发送回吗？

Question

我的设置是：

• POST 用户名和密码到 /authenticate 端点
• Spring security 验证凭据，并创建一个以用户名作为主题的 JWT 并将其发送给客户端。

所以现在我正在设置客户端，我想知道将 JWT 作为字段附加到响应正文中，或者将 JWT 与响应正文一起放入标头中是否存在问题。

因为如果不做这些事情，现在客户端必须发送第二个请求（现在我知道我可以将 JWT 放在标头中，Authorization: Bearer ...），Spring 解密 JWT，然后发送一个新的响应用户数据。

是否约定仅使用 JWT 发送授权响应，不发送用户数据？

标签： springjwt

Answer 1

我想说除了 JWT 令牌之外，还可以在身份验证时返回一些用户数据。使用 JWT 令牌，消费者可以检索用户数据，那么为什么不保存到服务器的往返呢？