將 jwt 轉換為在 android 應用程序上使用 Cookie(sessionid+csrf Token)

Question

我的應用程序要求只有一個帳戶可以使用它。 所以，我的團隊決定使用 session 和Cookie ，因為他們可以控制訪問。 因此，Cookie 具有 sessionid 和 csrf Token。

據我所知，Cookie是給瀏覽器的。 我不知道這是否是 Native Application 的好策略。 而且我不知道原生應用是否需要csrf Token。 而且，Cookie 似乎不如 JWT 安全。

我從 Headers(Set-Cookie) 獲取 Cookie 內容，並將其發送到 Cookie Header & X-CSRFToken Header。

你能描述一下優缺點，以及你對這種遷移的看法嗎？

Answer 1

從移動應用程序的角度來看，使用 cookies 和 session ID 與使用不透明訪問令牌沒有太大區別。 對於移動應用程序，它只是一個字符串，您需要從一個地方（響應正文/標頭等）獲取，並將其放在另一個地方（ Authorization header 或Cookie標頭）。 cookies 的所有安全功能都是由瀏覽器實現的，因此您無論如何都不會使用它們。

至於 CSRF 令牌，您必須記住 API 無法知道發出請求的是移動應用程序還是瀏覽器。 由於您將使用 cookies，因此建議您也進行適當的 CSRF 保護。