从 React 前端验证 JWT 令牌真的安全吗？

Question

我来自传统的HTML、frontend JS、css 背景，所以我有点怀疑从前端进行令牌身份验证。

所以当用户登录时，JWT 将从后端生成并发送到客户端。从那时起，我会将其存储在localStorage 或sessionStorage 中，以便在每次用户尝试访问私有路由时“在前端”对它们进行身份验证。来自传统的“始终客户端到服务器的通信”，我想知道这种方法是否非常安全。 （虽然我知道无论是发生在后端还是前端，JWT 的解码都是完全相同的过程）。那么，在前端路由而不是在后端路由时，我应该考虑任何其他安全漏洞吗？

编辑**

另外，如果我在前端解码，我的秘密会不会暴露给所有人？

Answer 1

这种方法是安全的，不会向所有人泄露秘密。后端应用程序通常读取主 uid 和 access_token。

将 TLS/SSL 与 JWT 结合使用以防止中间人攻击至关重要。在大多数情况下，如果 JWT 有效负载包含敏感信息，这足以加密它。但是，如果我们想添加额外的保护层，我们可以使用 JSON Web 加密 (JWE) 规范对 JWT 有效负载本身进行加密。

当然，如果我们想避免使用 JWE 的额外开销，另一种选择是简单地将敏感信息保存在我们的数据库中，并在我们需要访问敏感数据时使用我们的令牌对服务器进行额外的 API 调用。