只要我在后端正确验证所有内容，就可以将这些数据存储在本地存储中吗？

Question

我正在做一个项目来学习使用 MERN 堆栈的全栈开发。 我正在使用 jwt 令牌进行身份验证。 这是我发送给客户端并在登录时将其存储在本地存储中的内容

用户名：migo

isAdmin：真

代币：jwtToken

email: blabla@gmail.com

我认为我应该只将令牌存储在 localstorage 上并将其解码以获取 isAdmin、用户名、email 等。正确的处理方法是什么？ 难道我做错了什么？

Answer 1

是的，您只能将 JWT web 令牌保存在浏览器的本地存储中，并在后端/服务器端对其进行解码。 但是在发送 JWT 作为对前端的响应时，将其属性设置为httpOnly:true以获得更好的安全性，因此没有第三人可以访问 JWT 令牌

例如，您可以参考以下链接

https://iditect.com/article/express-uses-jwt-and-httponly-cookie-for-security-verification.html

Answer 2

本地存储应仅包含不敏感且不用于访问后端的数据。 因此，我会说您可以安全地将isAdmin或username等信息存储在本地存储中。 （请注意， isAdmin等标志只能用于非安全目的。例如，显示不同的用户图标、主题或菜单选项）

如果您可以选择将 JWT 访问令牌存储在仅限 HTTP 的安全 cookie 中，那么您应该使用此解决方案 go。 现在不建议将令牌存储在本地存储中，因为它们在那里容易受到 XSS 攻击。