jsonwebtoken中的數據是否不可重寫

Question

我在節點js服務器上使用jsonwebtoken ，並且在jsonwebtoken內部存儲了用戶角色。

因此，每次他提出請求時，我只需要檢查令牌中是否指定了所需角色。 但是人們可以改變這個角色嗎？ 我知道每個人都可以看到它，但是我想如果沒有我的秘密，沒有人可以更改它，對嗎？

當然，我總是檢查jsonwebtoken是否正確簽名。 您認為這種方法看起來不錯嗎？ 抱歉，英語不是我的主要語言

Answer 1

如果更改jwt數據，然后使用其他簽名對其進行哈希處理，則服務器將知道其為偽造令牌。

還請確保您使用https，這樣您的令牌就不會被嗅探器使用。

如果您將令牌存儲在cookie中，請確保將cookie放在僅帶http的位置，以防止cookie劫持

我也建議您使用csrf令牌來防止csrf攻擊

Answer 2

我猜您將jwt存儲在Cookie或客戶端的LocalStorage中。
因此，用戶可以刪除或更改Cookie，但是如果沒有您的秘密，他將無法讀取它。

因此，如果他嘗試更新令牌，則令牌可能會損壞並且無法從您的服務器端讀取。

如果令牌已損壞，您可能需要注銷用戶並將其重定向到登錄頁面。