使用jwt身份驗證保護React App

Question

我創建了一個使用jwt身份驗證的應用程序，流程很簡單，就像我向服務器提供用戶ID和密碼，如果通過身份驗證，它將向我提供jwt，並且我將jwt令牌存儲到會話存儲中，並允許用戶登錄，然后每次請求我創建了一個帶有axios的攔截器，該攔截器從會話存儲發送令牌，一切正常。

但是我感到困惑的是，當從會話存儲中看到用戶登錄jwt時，是否存在存儲jwt的任何安全方式（無法看到）以及當前工作流程中要采取的任何安全步驟來保護應用程序

Answer 1

用戶能夠看到JWT沒問題。 這是因為，讓我們假設您是用戶，並且能夠看到JWT，就像是能夠知道密碼一樣。 如果第三人知道JWT是唯一可能出現問題的時間。

可以存儲JWT的地方，或者大多數是sessionstorage或localstorage或cookies ，它們在提供的安全性方面各有優缺點。 並且在所有方法中，JWT都可以被用戶看到。

閱讀的第二部分這篇文章 ，在節約的區別storage和cookies ，以及如何保護JWT每個方法。