使用jwt身份验证保护React App

Question

我创建了一个使用jwt身份验证的应用程序，流程很简单，就像我向服务器提供用户ID和密码，如果通过身份验证，它将向我提供jwt，并且我将jwt令牌存储到会话存储中，并允许用户登录，然后每次请求我创建了一个带有axios的拦截器，该拦截器从会话存储发送令牌，一切正常。

但是我感到困惑的是，当从会话存储中看到用户登录jwt时，是否存在存储jwt的任何安全方式（无法看到）以及当前工作流程中要采取的任何安全步骤来保护应用程序

Answer 1

用户能够看到JWT没问题。 这是因为，让我们假设您是用户，并且能够看到JWT，就像是能够知道密码一样。 如果第三人知道JWT是唯一可能出现问题的时间。

可以存储JWT的地方，或者大多数是sessionstorage或localstorage或cookies ，它们在提供的安全性方面各有优缺点。 并且在所有方法中，JWT都可以被用户看到。

阅读的第二部分这篇文章 ，在节约的区别storage和cookies ，以及如何保护JWT每个方法。