Node.js 具有无状态服务器且无服务器端呈现的cookie中的JWT身份验证
我正在尝试在一个单页应用程序前端的cookies for auth中实现jwt，该应用程序前端与运行express的各种节点微服务进行通信 我这样做是因为将jwt存储在sessionstorage中会使应用程序易受XSS攻击 但是，通过使用cookie，API现在容易受到csrf攻击 传统上，通过创建csrf令牌，将其存储在服务器会话中，然后将其呈现在隐藏表单字段中，可以减轻csrf攻击。 然后，在提交表单时，将对照服务器会话值检查csrf令牌的值，以检查它们是否匹配 我不能使用这种方法，因为： -服务器是无状态的 -没有服务器端渲染 因此，我不知道我应该采用哪种csrf方法。 我已经读过关于double submit方法的文章，在这种方法中，您在每个ajax请求上提交一个csrf令牌，并在cookie中存储相同的值，然后服务器检查两者是否匹配 但是，我无法首先将初始csrf令牌放入html中，因为没有服务器端呈现Node.js 具有无状态服务器且无服务器端呈现的cookie中的JWT身份验证,node.js,reactjs,cookies,jwt,csrf,Node.js,Reactjs,Cookies,Jwt,Csrf,我正在尝试在一个单页应用程序前端的cookies for auth中实现jwt，该应用程序前端与运行express的各种节点微服务进行通信 我这样做是因为将jwt存储在sessionstorage中会使应用程序易受XSS攻击 但是，通过使用cookie，API现在容易受到csrf攻击 传统上，通过创建csrf令牌，将其存储在服务器会话中，然后将其呈现在隐藏表单字段中，可以减轻csrf攻击。 然后，在提交表单时，将对照服务器会话值检查csrf令牌的值，以检查它们是否匹配 我不能使用这种方法，因为：
在无服务器端呈现的无状态体系结构中，在具有csrf保护的cookie中实现jwt的最佳实践是什么？只是不要将jwt令牌存储在cookie中 CSRF攻击是可能的，因为浏览器会发送带有HTTP请求的cookie，即使它们是由第三方站点上运行的脚本启动的。因此，
evilsite.comDELETEhttp://yoursite.com/items/1yoursite.comevilsite.com但是，身份验证不必基于cookie。如果您正在创建客户端呈现的JavaScript应用程序，那么将身份验证令牌作为HTTP头而不是cookie发送是很简单的。如果您这样做，
evilsite.comlocalStorage