Javascript 在Json Web令牌中存储用户访问级别和电子邮件有多安全

是否可以安全地存储用户访问级别/管理级别和电子邮件，以确定他们可以检索哪些数据？或者我应该将令牌存储在数据库中，在每个请求中验证令牌并以这种方式查找数据吗？

如果您在JWT上签名，则将令牌的内容设置为只读。如果这不够安全，您可以对其内容进行加密。

通常，最好的方案是让令牌表示经过验证的用户ID，然后根据令牌表示的用户ID根据需要查找特权等内容。这还允许某些授权代理修改特权，而不会使令牌过期。想象一下你想取消一些特权。如果它在令牌中，您必须以某种方式撤销令牌本身。如果需要查找特权，则会立即进行更改，而无需撤销任何令牌。