JWT 签名和编码：矫枉过正还是个好主意

Question

上下文：我正在使用 localStorage 通过 jwt 对 node.js 应用程序进行身份验证。

在阅读了很多关于此的意见后，我很困惑。 我有一个使用此代码登录用户的实现：

var payload = jwts.encode({id: user.id}, jwtOptions.secretOrKey);
var token = jwt.sign(payload, jwtOptions.secretOrKey);

这有点简化。但是，我想知道编码是否真的有必要。我应该这样做吗？

var payload = {id: user.id};
var token = jwt.sign(payload, jwtOptions.secretOrKey);

我在有效负载中没有过于敏感的数据，但我将添加可以被看到和利用的声明（用户的计算机已被入侵，localStorage 将显示他们是“管理员”用户）。它不是电子商务网站，但我希望它在上述（可能不太可能）场景中是安全的。

不利的是它使令牌更大（大约 30% 大），因此这会影响性能。考虑到人们现在拥有的带宽，额外的几个字符真的很重要吗

Answer 1

RFC 7519 Json Web Token 不允许您提出的选项。 jWT 使用 JWS 紧凑序列化，每个部分都必须 base64 url​​ 编码

JWT 表示为 URL 安全部分的序列，由 句点 ('.') 字符。 每个部分都包含一个base64url-encoded 值。 JWT 中的部件数量取决于 使用 JWS Compact 表示生成的 JWS 使用 JWE 紧凑序列化的序列化或 JWE

发送没有序列化的 JWT 意味着您需要处理编码。如果您想了解紧凑序列化和扁平序列化之间的区别，请查看 JWS RFC https://www.rfc-editor.org/rfc/rfc7515#page-19