JWT作为API访问控制机制

JWT如何解决web应用程序向用户提供API数据的问题，同时防止用户直接访问同一API？客户端中的任何加密都可以更改/拦截

答复:

---

事实并非如此，在没有身份验证的情况下保护公共API是不可能的

每个请求都有一个签名，更改请求将使签名无效

客户端中的任何加密都可以更改/拦截

---

这不是真的，因为客户端没有私钥

客户端持有令牌。没有它，它就无法访问API。这意味着，用户可以拦截令牌并访问API。我可能误解了您的问题，请您添加一些详细信息，例如API的体系结构？我认为您可以验证令牌中的一些声明。我的客户端代码显示了API中的用户数据。我不希望用户能够直接调用API