应该将身份验证令牌存储在 ASP.Net Core 的什么位置

Question

我的应用程序有一个 API 部分和一个网站部分。 在网站上，用户可以登录并从 API 获取 JWT 不记名令牌。

我现在的问题是：

我应该在哪里存储该令牌？

有人说，将其存储在 Cookie 中（而其他人说“不要，因为 CSRF”），有人说 HTML5 Web Storage，其他人说使用 Session（而其他人说，“不要在 ASP Net Core 中使用 Sessions” ) 我看到一篇文章，其中有人将 auth-token 存储在数据库中 (??)。 那么，现在正确的位置是什么？

Answer 1

具有许多控制器和许多视图的 MVC-web 应用程序

如果您必须使用令牌来验证对您的 MVC 应用程序的每个请求，我认为最好的选择是将其存储在会话 cookie 中，因为如果不是，Web 浏览器不会在每个请求中自动发送令牌并且它会很痛苦的。

现在，为了保护 cookie 和请求：

• 制作会话 cookie（没有过期日期）
• 尽可能限制 cookie 的范围（域和路径）。
• 设置 Secure 和 HttpOnly 属性。
• 设置SameSite属性。
• 如果浏览器不支持 SameSite，请使用反 CSRF 令牌。
• 设置限制性 X-Frame-Options。
• 不要忘记在每次请求时验证服务器上的 JWT 签名。
• 对 JWT 令牌进行加密，以防止可能导致社会工程的信息泄露。