JWT 拓展

JWT适用场景

https://www.jianshu.com/p/af8360b83a9f

适用于一次性操作的认证，颁布一个很短过期时间的JWT给浏览器。

无状态的JWT无法实现精确的在线人数统计。

建议使用https协议，因开销问题取决于公司。

利用cookie存储token需要注意

1、cookie有大小限制（通常为4k）；

2、和浏览器有cookie数量限制（例如Firefox每个域名cookie限制为50个）；

3、若用localstorage存储token，需防止xss攻击；

刷新jwt token

https://www.jianshu.com/p/78e15a1ac7f2

jwt不能记录客户端信息，所以一旦token失效，客户端必须重新获取token

在token中加入refreshtoken，设置exp时间为t，设置refreshtoken为2t

如果客户端携带失效token请求服务器

服务器验证token失效，验证refreshtoken是否失效，若未失效则创建新的token，并放回给客户端

客户端接收请求内容，并将新返回的token覆盖原始token，下次访问携带新token

jwt token盗用

https://segmentfault.com/q/1010000010003323/a-1020000010004454

因为jwt属于无状态服务，所有信息都存储于客户端，对于token盗用问题可使用一下方案

1、使用HttpOnly提升cookie安全性，可防止XSS攻击、使用https协议、

将JWT通过HTTP header发送给服务端（而不是通过cookie自动发送）可以有效防护CSRF

2、使用有状态的session，同时可以解决服务器可控问题

扩充

cookie使用HttpOnly

在Cookie中包含httponly属性时为true，Cookie 不允许通过JS来读写。可防止XSS攻击。

为什么在请求头写token并且使用https就安全了

http协议传输的数据都是未加密的，为明文传输。

​http 是超文本传输协议，信息是明文传输，https 则是具有安全性的 ssl 加密传输协议。

http 和 https 使用的是完全不同的连接方式，用的端口也不一样，前者是 80，后者是 443。

http 的连接很简单，是无状态的；HTTPS 协议是由 SSL+HTTP 协议构建的可进行加密传输、身份认证的网络协议，比 http 协议安全。

https就是http的安全版本，但是https需要ca证书，一般需要收费

参考

https://www.cnblogs.com/zhangsanfeng/p/9125732.html