请求中的“可选”JWT？

Question

第一次学习 JWT...

我有一个集成了 Auth0 Facebook 登录的 NodeJS/Express/Angular 2 应用程序。

我目前将用户配置文件详细信息存储在 localStorage 中，并且我知道这可以通过开发控制台进行编辑。

我希望用户无论是否登录都能够发布特定帖子（并在他们登录时将他们的用户帐户与数据库中的结果实体相关联） .但是，我想确认他们没有以任何方式更改 localStorage 对象，可能是为了冒充另一个用户等。

是一个路由能够处理这个问题，还是我应该将它拆分为两个单独的路由以供经过身份验证的用户/访客使用，并从 JWT 检查中排除访客？

任何关于这个主题的一般建议也很感激

Answer 1

您应该有两种类型的路线。那些在经过身份验证后可以访问的，而其他的则无需任何形式的身份验证。这几乎是您应该这样做的唯一方法。

除此之外，您可以在 localStorage 中保留任何您想要的内容。 JWT 使用密钥（使用 HMAC 算法）或使用 RSA 的公钥/私钥对进行签名。如果一个人从 localStorage 复制它并发送给另一个人，那不是你的问题。