如何在瀏覽器中安全地存儲 JWT？

Question

我在前端使用 Angular 10。 我從后端服務獲得 JWT 。 我需要將我的 Okta JWT 安全地存儲在瀏覽器中。 我研究了將令牌存儲在 window.sessionStorage 或 window.localStorage 或 HTTP 僅安全 cookie 中。 但是，我不確定如何避免 XSS 和 XSRF 攻擊。

安全存儲 JWT 並遍歷遵守 XSS 和 XSRF 預防的最佳方法是什么？

提前致謝

Answer 1

保存在客戶端的數據不可能是“安全的”。 沒有什么比一個過期時間短的 JsonWebToken 實現更多了。 通過將它們保存在本地存儲中，您可以在需要使用令牌與服務器通信的情況下對它們進行額外的加密和解密。

我推薦閱讀 George Koniaris 的這篇 文章。