我目前正在尝试为我的应用程序实施一些身份验证，但是，我有一个简单的问题。 我在后端设置了一些基本身份验证，它设置了一个令牌并将其发送到前端并保存在一个 cookie 中。 我读到令牌在我进行 api 调用的任何时候都会发送到服务器，但我无法理解我应该如何做到这一点。
我刚刚阅读了这个question on stackoverflow，似乎回答这个问题的人只是建议了两个帮助函数来检查是否有一个名为令牌的项目。 这对我来说似乎有点安全风险。难道任何人都不能在本地存储中设置一个名为 token 的项目吗？因此，此人将获得对受保护路线的访问权？ 如果是这样，您将如何确保 JWT 实际经过身份验证？
所以，分解一下，我的问题是：
【问题讨论】：
标签： node.js reactjs authentication react-router
- 以上答案是否表明存在安全风险？
如果使用随机令牌，您的 api 应该返回 401 错误，因此您可以通过清除 cookie/本地存储中的令牌值来处理此 401 错误。
编辑：为了防止用户使用自己输入的令牌值访问私有路由，您可能需要发出 api 请求以检查私有路由的 auth 函数中的令牌（这是可选的作为假用户无论如何都无法获取 api，顺便说一句，请记住，客户端可以访问 javascript 应用程序代码，因此他将始终能够“读取”受限页面，除非您执行 SSR，这就是您的原因敏感数据必须在服务器端）
- 您如何通过 api 调用发送 JWT 以及如何验证它们？
取决于您的服务器端实现，即 jsonwebtoken 或 passport 和 passport-jwt 效果很好。
在客户端，您将在每个请求的 Authorization 标头中发送您的 jwt，并带有 JWT 或 Bearer 之类的前缀（取决于护照配置）。
使用 fetch 的示例：
fetch('/api', {
headers: {
'Authorization': 'Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ...'
}
});
【讨论】：
req.decoded）