Cookie 和 Jwt 以及何时使用它们

Question

我是 jwt 的新手，在阅读了一些文章后，我了解到我们可以将 jwt 存储在 cookie 中，并且会话仍然可以是无状态的。对吗？，关于 csrf 攻击，因为使用时cookie 我们很容易受到 csrf 攻击 我们有防伪来解决 csrf 的问题。 现在我的主要问题-我不确定这是否正确但是，当您为控制器实现 CrossOrigin 时，使用 cookie 存储 jwt 是否有一些特别的缺点，这是我的服务器应用程序位于不同位置的场景，我们在我们位于另一个城市的客户端应用程序中从它调用 api 吗？这难道不是很多 Web 服务提供商不使用 cookie 的原因吗？

Answer 1

1. 是的，您可以将 JWT（实际上是 JWS）存储在 cookie 中，并且您的会话仍然是无状态的。
2. 是的，就 CSRF 而言，在 jwt 中使用 cookie 可能会有很大的危险，但可以通过服务器控制 Referrer 和 Origin 标头以及限制 Http Cookie 生命周期将其降低到最低限度。

希望对你有帮助。