如何使用 JWT 令牌保护 SPA 上的敏感数据答案

【问题标题】：How to protect sensitive data on a SPA using JWT tokens如何使用 JWT 令牌保护 SPA 上的敏感数据
【发布时间】：2016-11-18 23:04:12
【问题描述】：

我正在考虑用 javascript 制作一个应用程序并使其成为 SPA。

使用 JWT 令牌对用户进行身份验证并在应用上设置用户角色，保护敏感内容的最佳方法是什么？

对记录的页面使用 html 模板不好吗？我应该始终从 api 返回敏感内容吗？

谢谢

【问题讨论】：

【解决方案1】：

您可以加密您的 JWT。此类加密在RFC7516 中定义。

根据服务器端和客户端 (JS) 使用的编程语言，您可能会找到支持 JWE 的库。

在jwt.io，您会找到这些库的列表。

【讨论】：

【解决方案2】：

所有动态都应该通过您的网络服务传递。如果您不会不正确地使用任何东西（例如使用没有注入预防的 SQL 驱动程序），就不会有任何不安全的东西（至少在第一阶段）。

另外，为了防止 MiM 攻击，您应该使用 SSL/TLS。

【讨论】：