为无状态 JWT 身份验证添加安全性

Question

我已经实现了一个无状态服务器，我使用 JWT 让用户访问 API。我在这里关心的是安全性。之前有同样的问题，但没有得到很好的回答： JWT, Stateless Authentication, and Security

问题：使用 JWE（加密令牌）等因素或使用强机密对令牌进行签名 &... 可以使程序更安全，但如果我们实施的所有安全措施都只取决于密钥呢

如果密钥被盗怎么办？ 那么无论我们使用多少安全层，黑客都可以使用密钥制作一个有效的令牌并访问所有 API。有什么解决方案可以让它更安全吗？

Answer 1

如果您生成令牌的密钥被泄露，只需更改它。这将使之前创建的所有 JWT 令牌失效。