JWT 負載加密，無需任何 JS 訪問令牌

Question

我想使用對稱或非對稱加密方法等當前方法加密 JWT 有效負載。 我的問題是，如果我使用這些方法，javascript 需要在客戶端對我的數據執行任何操作嗎？ 還是加密和驗證的所有部分都將在服務器端完成？ 在這篇文章中，他們說如果你需要加密有效載荷，你必須存儲公鑰（由於像 RSA 或...這樣的加密算法）。 為什么？ 如果我想加密有效負載，為什么我們需要在 jwt 令牌中存儲公鑰（或任何密鑰）？ 有沒有辦法只在服務器端對稱加密有效負載？ 並且沒有javascript需要訪問它們並操作令牌？

Answer 1

你誤解了這篇文章

要為給定收件人加密 JWT，您需要知道他們的公共 RSA 密鑰。

如果閱讀，這可能會更清楚

要為給定收件人加密 JWT 以便他們可以解密它，您需要知道他們的公共 RSA 密鑰。

這意味着如果客戶端想要加密一些東西發送給你，你可以解密，他們只需要知道你的公鑰，而你只需要知道你的私鑰。 如果您想加密客戶端可以解密的內容，則需要客戶端公鑰。

聽起來你想加密一些東西發送給客戶端，然后他們可以發回給你讓你解密。 由於您同時進行加密和解密，因此無需將密鑰發送到客戶端（除非您為每個客戶端使用不同的密鑰，在這種情況下，您需要將您使用的公鑰發送給他們，以便您確定要使用哪個私鑰解密）。