JWT 应该保存在哪里？

青旅半醒 2022-08-28 02:57 196阅读 0赞

![49033009b034e28f171eb88879744776.png][]

最近几年的项目我都用JWT作为身份验证令牌。我一直有一个疑问：服务端发放给浏览器的JWT到底应该存储在哪里？这里只讨论浏览器的场景，在这个场景里有三种选择。

### Cookie ###

服务端可以将JWT令牌通过Cookie发给浏览器，浏览器在请求服务端接口时会自动在Cookie头中带上JWT令牌，服务端对Cookie头中的JWT令牌进行检验即可实现身份验证。但它容易受到CSRF攻击的影响。

解决的方法是通过设置Cookie的`SameSite`属性为`Strict`。跨站时不会发送 Cookie。换言之，只有当前网页的 URL 与请求目标一致，才会带上 Cookie。

Cookie除了易受CSRF攻击还有XSS攻击。黑客可以通过JS脚本读取Cookie中的信息。为了防止这一点，可以设置Cookie的属性为`HttpOnly`。

response.setHeader("Set-Cookie", "jwt=jwt_value;Path=/;Domain=domainvalue;Max-Age=seconds;HttpOnly");

> ❝
> 
> 你可以通过设置`Max-Age`来设置其生存时间。

### localStorage ###

localStorage也可以存储JWT令牌，这种方法不易受到 CSRF 的影响。但是和Cookie不同的是它不会自动在请求中携带令牌，需要通过代码来实现。不过这样会受到XSS攻击。另外如果用户不主动清除JWT令牌，它将永远存储到localStorage。

### sessionStorage ###

sessionStorage大部分特性类似localStorage，不过它的生命周期不同于localStorage，它是会话级存储。**关闭页面或浏览器后会被清除**。

### 总结 ###

您可能会注意到所有 3 种方法都有相同的缺点——“易受 XSS 攻击”。请特别注意 XSS的防护，并始终遵循XSS保护的最佳实践。

### 结论 ###

三种形式都容易收到XSS攻击，因此如果对安全性要求很高，要特别针对性的配置。在三种方式之中，Cookie 提供了一堆安全选项，例如`SameSite`、`HttpOnly`等。因此最好使用 Cookie。

推荐关注本文作者：码农小胖哥

分享高质量编程知识，探讨IT人生

技术干货，实战技巧，面试技巧，前沿资讯一个都不能少

[49033009b034e28f171eb88879744776.png]: /images/20220828/d8142263db6a4aa6b4abddd18c5c4711.png

发表评论取消回复

表情：

评论列表（有 0 条评论，196人围观）

还没有评论，来说两句吧...

相关阅读

相关 MySQL Navicat Premium 保存的SQL在哪里?

在使用 Navicat Premium 编辑SQL的过程中为防止程序意外崩溃，已经将编辑的SQL都已经备份。备份存放目录地址：C:\\Users\\\{登录用户名\}\\

墨蓝/ 2023年10月17日 15:13/ 0 赞/ 146 阅读

相关应该从哪里检索论文

1、日常关注国内推荐paperweekly [http://www.paperweekly.site/rank][http_www.paperweekly.site_ra

今天药忘吃喽~/ 2023年02月17日 02:18/ 0 赞/ 12 阅读

相关 Spring Security登录成功后用户保存在哪里。

当前用户获取信息我们在`SecurityContextHolder`内存储目前与应用程序交互的主要细节。Spring Security使用一个`Authentication

太过爱你忘了你带给我的痛/ 2022年12月03日 15:57/ 0 赞/ 171 阅读

相关 iOS开发中用户密码应该保存在哪里

iOS开发中用户密码应该保存在哪里字数1413 阅读3488 评论14 喜欢48 > 如果要实现自动登录，不必每次打开应用都去登录，我们势必要把密码保存到本地。

快来打我*/ 2022年09月25日 13:17/ 0 赞/ 229 阅读

相关 JWT应该保存在哪里？

![07d5db0c4af71595b1510636a9b73426.gif][] 最近几年的项目我都用JWT作为身份验证令牌。我一直有一个疑问：服务端发放给浏览器的JWT到

待我称王封你为后i/ 2022年09月15日 12:36/ 0 赞/ 219 阅读

相关 JWT 应该保存在哪里？

![49033009b034e28f171eb88879744776.png][] 最近几年的项目我都用JWT作为身份验证令牌。我一直有一个疑问：服务端发放给浏览器的JWT到

青旅半醒/ 2022年08月28日 02:57/ 0 赞/ 197 阅读

相关 IOS学习之iOS开发中用户密码应该保存在哪里

> 如果要实现自动登录，不必每次打开应用都去登录，我们势必要把密码保存到本地。 > 一般我们的操作是： > 每次打开应用后，如果存在密码，直接进入界面，然后再进行后台密

迈不过友情╰/ 2022年07月29日 10:59/ 0 赞/ 218 阅读

相关 sessionid如何产生？由谁产生？保存在哪里？

面试问道这个我居然不知道怎么回答，当然也是因为我确实没有研究过。下面就是百度了一篇文章后简单回答这个问题。参考：[http://www.cnblogs.com/sharpx

心已赠人/ 2022年07月16日 07:38/ 0 赞/ 161 阅读

相关初识CSS-CSS代码应该写在哪里

1，写在元素标签的style属性中，仅对当前元素有效； 2，写在当前页面头部的标签中，仅对当前页面所有元素有效； 3，写在独立的CSS文件中，对所有引入该文件的页

缺乏、安全感/ 2022年05月15日 14:28/ 0 赞/ 412 阅读

相关 sessionid如何产生？由谁产生？保存在哪里？

sessionid是一个会话的key，浏览器第一次访问服务器会在服务器端生成一个session，有一个sessionid和它对应。tomcat生成的sessionid叫做jse

太过爱你忘了你带给我的痛/ 2021年09月16日 01:04/ 0 赞/ 319 阅读