现在很多开发者使用 JWT Authentication 来授权 api 调用。 顺便说一句，如果黑客可以捕获经过身份验证的用户的 api 调用请求，那么他就可以获得经过身份验证的 JWT 令牌。 然后黑客可以使用授权的 JWT 令牌访问这个 api，而无需他的身份验证。 这可以吗？ 我想知道 JWT 身份验证实际上是安全的。 你能解释一下吗？
【问题讨论】：
标签： authentication token jwt http-token-authentication
jwt 是包含有关用户身份和声明的信息的代码，并且仅在有限的时间内有效。
除了颁发令牌的授权端点之外，任何人都无法读取或更改代码。因此它是安全的，因为它不能被篡改。这意味着令牌可以完全信任。您不必验证令牌，您可以使用身份信息和声明，而无需查阅数据库。
但这也是缺点。一旦发出令牌，在到期前一直有效，因为到期时间无法更改。这就是为什么令牌只能通过安全线路发送到服务器的原因。您不希望黑客拦截令牌。
但如果发生了，那又如何呢？
有多种选择。您可以使用 short-lived 令牌，这意味着令牌在发出后不久就会过期。如果一个令牌被截获，它只在一小段时间内有效。在这种情况下，您理所当然地认为黑客可以在有限的时间内访问系统。优点是您需要的资源更少，而且黑客的努力可能不值得。
另一种选择是在每个请求上验证令牌。这需要更多资源（例如在数据库中查找），尽管您可以使用某种缓存。如果发生变化，例如 IP 地址，那么您可以使令牌无效。但问题是您是否可以检测到令牌是否是由黑客发送的。
所以这取决于选择的策略。 但是：如果你发出一个长期存在的访问令牌没有验证（因此不可能撤销令牌），那么你会如果黑客获得访问令牌，就会出现问题。所以你需要做一些事情以安全的方式使用它。
虽然我认为这应该足以帮助您理解，但我想提一下 刷新令牌 的使用。如果您使用 short-lived 访问令牌，那么您可能需要实现 long-lived 刷新令牌。这些刷新令牌旨在在过期后获取新的访问令牌。优点是您不需要发送凭据，刷新令牌就足够了。但是，您只能在可以保密的应用程序中实现此功能。因为您肯定不希望黑客拦截（长期存在的）刷新令牌。
使用频率较低（与访问令牌相反），您可以添加逻辑以在使用时验证刷新令牌。您可以查阅数据库并决定拒绝请求（例如，当 IP 地址更改时）并撤销刷新令牌。在这种情况下，用户必须再次识别自己（发送凭据）。
【讨论】：
JWT 只是 fsb 服务器和客户端之间的安全消息传输器，以便 fsb 服务器可以确定客户端是否登录；如果登录，fsb 服务器将获取基于个人唯一用户的数据。
谷歌认证
jwt
JWT 的流程
JWT 描述
【讨论】：