我正在开发一个 MEAN 堆栈应用程序，并且我目前正在设置一个帐户系统。我看过几个关于身份验证的教程，都使用 JWT。
我想知道，JWT 是否可以用作通过 HTTP 等非安全连接来保护通信传输的方式？
我已设置 HTTPS 以从我的 Angular 4 前端与我的 NodeJS + Express 后端进行通信，因此想知道是否需要 JWT 来保护我的通信？
【问题讨论】：
标签： node.js angular jwt mean-stack
我是智威汤逊的新手。这是我在 http 而不是 https 中攻击 JWT 的场景。假设向用户 A 发出 JWTa 以访问服务器上的资源 A。黑客也是服务器的合法用户，他获得了JWTh来访问资源H。没有https保护，黑客可以嗅探网络，从A的请求中获取http头中的JWTa，并将其放入黑客的请求中。由于 JWTa 是有效令牌，所以黑客可以访问资源 A。我猜 JWT 协议可以防止这种情况，但我不知道如何。签名验证后，还需要验证声明。似乎“aud”可以防止这种情况，但我不知道它是如何工作的。
【讨论】：
如今，开发人员更喜欢基于令牌的身份验证而不是会话。基于令牌的身份验证比会话有很多优势。 我们使用 JWT 即 JSON Web Token 在用户身份验证后生成一个令牌，每次您的前端应用程序进行 API 调用时，因此您的系统应该检查请求是否具有有效的令牌，如果它存在并且它是有效的那么它被视为有效用户。
简而言之，我们使用 JWT 来验证我们的 API 调用，它与 HTTP 或 HTTPS 无关
【讨论】：
JWT 不应与加密相混淆。来自jwt.io：
JSON Web Token (JWT) 是一个开放标准(RFC 7519)，它定义了一个 用于安全传输信息的紧凑且独立的方式 在各方之间作为 JSON 对象。
JWT 使用公钥/私钥对进行签名，因此可以验证发送者，并验证有效负载没有被修改。但是，JSON Web Token 是明文形式。
var token = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ";
var payload = token.split('.')[1];
console.log('Payload: '+atob(payload))下图来自jwt.io，显示了使用 JWT 时的身份验证流程。
您需要 SSL/HTTPS 来加密通信。如果没有 SSL/HTTPS，攻击者可以嗅探网络流量并获取 JWT，因此您的应用程序容易受到中间人攻击。
【讨论】：
不，当您的服务器支持 HTTPS 时，不需要 JWT。 HTTPS 协议确保请求和响应在两端（客户端和服务器）都加密。
我相信您希望在每个请求中向服务器发送跨用户凭据，然后服务器在从服务器发送任何响应之前验证用户。
虽然您可以执行上述操作，但在服务器端，您最终会在每个请求中针对数据库验证用户凭据，这是一项昂贵的任务，您可以在使用 JWT 时避免这种情况。
JWT 基本上对用户进行一次身份验证，并发出一个可以在一段时间内有效的访问令牌。
【讨论】：
通过 HTTPS 通信是否需要 JWT？
不。通信协议（HTTP vs HTTPS）是一回事，认证机制（JWT vs Session）是另一回事——这是两个完全不同的领域。
对于通信协议（HTTP vs HTTPS），HTTPS 可以单独使用，无需任何 JWT 令牌或会话。例如，可以制作一个静态网站（仅 HTML+CSS）并使用 HTTPS 提供服务。这样网站就可以通过CA认证，防止伪造攻击。
即使您需要在 Web 应用程序中进行身份验证，JWT 令牌也不是唯一的选择。 Session 是老技术，但它仍然可靠，这使得 JWT 绝对不是必要的。
【讨论】：