我應該在客戶端解碼JWT嗎？

Question

我正在構建一個android應用程序並計劃使用Json Web Tokens（JWT）進行身份驗證。

一旦我的服務器返回一個帶有生成的令牌的響應，解碼客戶端的令牌來讀取用戶信息（aka payload）還是應該嚴格使用令牌作爲認證機制，第二次請求獲取用戶的信息？

謝謝

Answer 1

大多數情況下，它取決於。如果您控制授權服務器（即您正在調用的API），那麼在客戶端讀取令牌的內容時，我確實看不到任何問題。

如果您正在調用第三方API並根據您不控制的服務器進行身份驗證，則不會依賴JWT令牌的內容。第三方可能決定更改令牌中的聲明，甚至開始加密令牌。