保护 JWT 令牌免受“窃贼”侵害

Question

JWT 令牌的问题是令牌被盗的情况。 现在我有一个 session 链接到后端的令牌。 首次生成令牌时，我确实保存了用户的 IP 地址。

问题是，由于手机和蜂窝网络，IP 可能会在最终用户使用 web 应用程序时发生变化，因此我无法强制执行 IP 验证。 我进行了 UUID 检查，但由于 UUID 与令牌一起传递，因此获取令牌也意味着获取 UUID。

有什么方法可以保护 JWT 令牌以防万一它们被盗？

Answer 1

是的，有一种方法可以保护令牌不被恶意方使用。 有一个“发件人约束令牌”的概念。 这些是访问令牌，要求发送者提供某种拥有令牌的证明。 这样的令牌不再是不记名令牌，这意味着它只能由原始客户端使用，而不能由任何设法窃取该令牌的人使用。 有不同的方式来实现发送者约束令牌（有时也称为所有权证明令牌）。 例如，您可以使用可靠但难以实现的mTLS 约束，或者称为DPoP - Demonstration of Proof-of-Possession 的标准。 后者不需要您处理公钥基础设施。