用 JWT 保護 API

Question

我目前正在學習 JWT 是如何工作的，我正在制作一個 API。 我制作了一個中間件 function，因此每次調用安全路由時，都會調用中間件並分析 accessToken。 我在 HTTP 請求的 header 字段授權中傳遞令牌，但這是我的問題：

• 有人可以查看 HTTP 請求的 header 中的訪問令牌嗎？ 因為如果是這樣的話，這真的不安全嗎？ 任何人都可以查看他朋友的 accessToken 並發出 api 請求嗎？

• 我已經刷新 function 以在它過期時獲取新的訪問令牌，但是我的 /refreshroute 沒有中間件，因為當我們調用刷新路由時 accessToken 已過期。 所以 /refreshroute 也不安全，它返回一個新的 accessToken....

請幫助我，我真的很想了解它是如何工作的......

Answer 1

這取決於您使用以下方式發送請求的連接類型：

• 如果使用 SSL 加密（即 HTTPS）發送請求，那么您可能不必擔心任何人查看標頭，因為強加密將不允許除收件人（服務器）之外的任何其他人查看請求.
• 但是，如果沒有 SSL 加密，那么發送到服務器的有效負載就會暴露並開放給窺探，容易受到 MITM 攻擊。