是否有快速選項可以安全地保存 JWT 令牌？

Question

在遵循 MERN 堆棧教程時，我問自己將 JWT 令牌存儲在 localstorage 中是否安全。 谷歌搜索 1 秒后，我得到了“絕對不是”這樣的答案。

當前 api 調用如下：

const {data} = await Axios.post("/api/users/signin", {email, password});
localStorage.setItem('localUserInfo', JSON.stringify(data));

我想知道，因為講師使用了其他安全技術，例如使用角色和 bcrypt（並且反應應該受到 xss 的保護）。

因此，如果不是：是否有另一種快速的選擇可以安全地保存它？

Answer 1

您可以使用僅限 http 的 cookie來防止惡意腳本讀取敏感的 cookie 數據，例如在跨站點腳本攻擊中使用它們。

既然您提到您正在學習 MERN 堆棧——您可以使用cookie-session中間件，在此處了解有關 express 安全性的更多信息。

它提供了多種配置以使 session cookies 安全：

app.use(session({
  name: 'session',
  keys: ['key1', 'key2'],
  cookie: {
    secure: true, // enforce https
    httpOnly: true, // ensure cookies are only sent via http(s)
    domain: 'example.com', // specify hosts that are allowed to receive the cookie
    expires: expiryDate // define lifespan
  }
}))