JWT 令牌安全漏洞和可能的解决方案请求

Question

我有一个关于 JWT 安全方面的问题。 考虑使用 JWT 作为其网关中的安全性的 X 应用程序。并且此令牌从原点开始有效期为 3 分钟。

所以场景如下：

X 应用程序在 UI 端登录。因此，UI 调用必须首先转到网关并获取创建的 JWT 令牌。因此响应发送回 UI。因此，来自 UI 的进一步请求将使用 JWT 令牌发送到服务层。这次网关验证请求标头中保存的令牌。它允许进一步到服务层。
这首先发生在令牌的第一分钟，因此通过简单地做开发工具，我们可以找到暴露在 UI 中的 JWT 令牌。

现在任何拥有 API 服务 URL 的人都可以使用这个 JWT 令牌并访问我们的 API 服务，对吧？不是安全问题吗。 ?或者有什么办法解决这个问题？

Answer 1

假设有人从客户端窃取了 JWT 令牌。

• 您的 JWT 令牌应该是唯一的，因为它包含只能验证单个用户/实体的信息。这意味着该令牌授权单个用户/实体可以执行的操作。

• 除此之外，您应该只允许您在网关/api 中信任的来源，这可以通过 CORS 和 CSRF 来完成。这将使令牌无法使用，除非您的客户端 (UI) 来源。