Angular 和 JWT

Question

通过在每个请求的标头中传递令牌，我已经在 Angular 中使用 JSON Web 令牌有一段时间了。这适用于我所有使用它的应用程序。

我的问题是，它必须在标题中传递吗？我知道这种方式可能更安全，但如果请求是通过 https 发出的，那么将其设置为 GET 或 POST 参数就足够了吗？

Answer 1

不，它不必位于标头中，但这样做可以让您轻松保留请求类型，而不会影响安全性。

如果您确实要发出 GET 请求，请不要在 URL 中传递 JWT，因为仅通过监控流量（实际上看不到请求）就可以更容易地拦截它。您可以将 GET 请求转换为 POST 请求并将 JWT 放入负载中，但这会破坏不同请求类型的目的，这会偏离最佳实践。

如果您只想保护 POST 和 PUT 请求，并且您的所有 GET 请求都是开放的，那么您可以在有效负载中发送您的 JWT。它可能会让以后遇到您的代码的任何人（包括您）感到困惑，但没有技术原因阻止您，安全性是一样的。