JWT应该保存在哪里？

待我称王封你为后i 2022-09-15 12:36 153阅读 0赞

![07d5db0c4af71595b1510636a9b73426.gif][]

最近几年的项目我都用JWT作为身份验证令牌。我一直有一个疑问：服务端发放给浏览器的JWT到底应该存储在哪里？这里只讨论浏览器的场景，在这个场景里有三种选择。

## Cookie ##

服务端可以将JWT令牌通过Cookie发给浏览器，浏览器在请求服务端接口时会自动在Cookie头中带上JWT令牌，服务端对Cookie头中的JWT令牌进行检验即可实现身份验证。但它容易受到CSRF攻击的影响。

解决的方法是通过设置Cookie的`SameSite`属性为`Strict`。跨站时不会发送 Cookie。换言之，只有当前网页的 URL 与请求目标一致，才会带上 Cookie。

Cookie除了易受CSRF攻击还有XSS攻击。黑客可以通过JS脚本读取Cookie中的信息。为了防止这一点，可以设置Cookie的属性为`HttpOnly`。

response.setHeader("Set-Cookie", "jwt=jwt_value;Path=/;Domain=domainvalue;Max-Age=seconds;HttpOnly");

> ❝
> 
> 你可以通过设置`Max-Age`来设置其生存时间。

## localStorage ##

localStorage也可以存储JWT令牌，这种方法不易受到 CSRF 的影响。但是和Cookie不同的是它不会自动在请求中携带令牌，需要通过代码来实现。不过这样会受到XSS攻击。另外如果用户不主动清除JWT令牌，它将永远存储到localStorage。

## sessionStorage ##

sessionStorage大部分特性类似localStorage，不过它的生命周期不同于localStorage，它是会话级存储。**关闭页面或浏览器后会被清除**。

## 总结 ##

您可能会注意到所有 3 种方法都有相同的缺点——“易受 XSS 攻击”。请特别注意 XSS的防护，并始终遵循XSS保护的最佳实践。

## **结论** ##

三种形式都容易收到XSS攻击，因此如果对安全性要求很高，要特别针对性的配置。在三种方式之中，Cookie 提供了一堆安全选项，例如`SameSite`、`HttpOnly`等。因此最好使用 Cookie。

[从Java 9 到 Java 17之Java 11][Java 9 _ Java 17_Java 11]

[2021-09-29][Java 9 _ Java 17_Java 11]

[![4ba54e5e6e2b9d1ac8ce9823fb7c072d.png][] ][Java 9 _ Java 17_Java 11]

[从Java 9 到 Java 17之Java 10][Java 9 _ Java 17_Java 10]

[2021-09-27][Java 9 _ Java 17_Java 10]

[![bc6bb9819002d09a7796c2dc7909af10.png][] ][Java 9 _ Java 17_Java 10]

![8e1a316d1e6c0c2b41fc2949f33da5d5.gif][]

[07d5db0c4af71595b1510636a9b73426.gif]: /images/20220828/a7d768d1aeb446c1ad6681cf477009c3.png
[Java 9 _ Java 17_Java 11]: http://mp.weixin.qq.com/s?__biz=MzUzMzQ2MDIyMA==&mid=2247491834&idx=1&sn=4589c407e08a2ec108fad4dd5807d256&chksm=faa10569cdd68c7f8b91eb1ef6fef554fd3baf3843d7cbc6f8445499b9bc5c15f430eefe7dfc&scene=21#wechat_redirect
[4ba54e5e6e2b9d1ac8ce9823fb7c072d.png]: /images/20220828/d5d51cfd595343e5886103220088054c.png
[Java 9 _ Java 17_Java 10]: http://mp.weixin.qq.com/s?__biz=MzUzMzQ2MDIyMA==&mid=2247491805&idx=1&sn=2b45277246fc781eb4f9edac9e8894e7&chksm=faa1054ecdd68c586de1b15576139e2e2ea1cb35d7342e9a139b3c2cdde497088930bce6660a&scene=21#wechat_redirect
[bc6bb9819002d09a7796c2dc7909af10.png]: /images/20220828/c9a2966dd860490490638b09b988806c.png
[8e1a316d1e6c0c2b41fc2949f33da5d5.gif]: /images/20220828/183f8962d1fe4738a63d76660bc02a06.png