将 jwt 转换为在 android 应用程序上使用 Cookie(sessionid+csrf Token)

Question

我的应用程序要求只有一个帐户可以使用它。 所以，我的团队决定使用 session 和Cookie ，因为他们可以控制访问。 因此，Cookie 具有 sessionid 和 csrf Token。

据我所知，Cookie是给浏览器的。 我不知道这是否是 Native Application 的好策略。 而且我不知道原生应用是否需要csrf Token。 而且，Cookie 似乎不如 JWT 安全。

我从 Headers(Set-Cookie) 获取 Cookie 内容，并将其发送到 Cookie Header & X-CSRFToken Header。

你能描述一下优缺点，以及你对这种迁移的看法吗？

Answer 1

从移动应用程序的角度来看，使用 cookies 和 session ID 与使用不透明访问令牌没有太大区别。 对于移动应用程序，它只是一个字符串，您需要从一个地方（响应正文/标头等）获取，并将其放在另一个地方（ Authorization header 或Cookie标头）。 cookies 的所有安全功能都是由浏览器实现的，因此您无论如何都不会使用它们。

至于 CSRF 令牌，您必须记住 API 无法知道发出请求的是移动应用程序还是浏览器。 由于您将使用 cookies，因此建议您也进行适当的 CSRF 保护。