【发布时间】：2018-03-01 15:03:19
【问题描述】：
我正在使用 PyJWT 库 (import jwt) 库来生成 JSON Web 令牌以进行身份验证。
最初的设计让我们通过像http://example.net?token=eyKDFkdfkdndfndfk这样的URL传递令牌...
但是，使用此解决方案，任何查看 URL 中的令牌的人都可以使用此令牌访问该站点。
通过 HTTP 标头和 SSL 传递 JWT 是否是正确的解决方案？看起来有些解决方案通过“授权承载”传递 JWT，例如在这个线程中：Best HTTP Authorization header type for JWT
【问题讨论】：
-
是的，就是这样。
-
给客户一个令牌的正确方法是什么？如果我向客户发送一个令牌，而他们不小心暴露了这个令牌，那会存在漏洞吗？
-
这取决于很多事情，通常很难回答。
-
@William Ross：wrt。您评论中的问题：OAuth 2.0 被设计为一种协议，该协议通过安全和标准化的机制将令牌分发给客户端。