Cookies 使用JWT声明与将用户数据存储在纯文本cookie中
只要用户使用cookie（UserID、Name、Role…）登录，我们的intranet系统就会存储用户数据 我今天学习了JWT和代币，想知道使用它比当前的方式有什么优势吗 在cookies中存储纯文本似乎有点不安全，但我也看到其他网站看不到这些cookiesCookies 使用JWT声明与将用户数据存储在纯文本cookie中,cookies,jwt,claims-based-identity,Cookies,Jwt,Claims Based Identity,只要用户使用cookie（UserID、Name、Role…）登录，我们的intranet系统就会存储用户数据 我今天学习了JWT和代币，想知道使用它比当前的方式有什么优势吗 在cookies中存储纯文本似乎有点不安全，但我也看到其他网站看不到这些cookies 那么是否有充分的理由使用JWT代币呢 cookie不能由创建它的域以外的域访问。此限制称为“同源”策略，是保护站点本地数据的安全措施，但并不意味着您的cookie可以方便地进行安全保护 由于您没有在服务器端验证cookie内容，例如，用
那么是否有充分的理由使用JWT代币呢 cookie不能由创建它的域以外的域访问。此限制称为“同源”策略，是保护站点本地数据的安全措施，但并不意味着您的cookie可以方便地进行安全保护 由于您没有在服务器端验证cookie内容，例如，用户可以更改其用户ID或角色以访问未经授权的资源 JWT可以帮助您，因为内容是用密钥签名的。对内容的任何更改都将破坏数字签名，服务器将拒绝令牌 另一种方法是使用服务器会话并将此数据存储在服务器上。
JWT的缺点是它需要服务器存储。如何验证服务器端的cookie内容？例如，经过身份验证的用户是否可以更改其用户ID或角色（仅使用浏览器检查器）以访问未经授权的资源？是否使用SSL/TLS？验证？服务器只是从cookie中读取值。。很简单。。那么糟糕？我将使用什么工具尝试更改cookie中的值（我对该工作不熟悉，所以我没有这样做，但确实感觉不安全）打开chrome inspector（F12）--->应用程序数据-->cookie，现在您可以玩这些值了。有趣。我试试看能不能破解这个系统。如果是这样的话，那么我应该向这里的程序员提一下