JWT身份驗證到期

Question

我正在開發一個角度應用程序，該應用程序目前已通過Cookie和會話進行身份驗證。但我想使用jwt認證。

而且我有一個疑問，如果該令牌被盜後，完整的認證是偷來的？

而且如果沒有到期日是有風險嗎？

因爲如果我在我的電腦登錄，然後令牌始終駐留在瀏覽器本地存儲，如果有人偷了該令牌從我的電腦，他們有訪問我的帳戶。那麼它是如何安全認證

請幫我理解的風險和這種工作方式。

謝謝

Answer 1

是，在沒有exp（過期時間）要求的，如果您的令牌被盜，你將有一個嚴重的安全問題。 這可以由觀衆來減輕如果jti（令牌ID）根據權利要求被設置，但必要的存儲（例如數據庫和文件系統...）與所有撤銷jti。

根據OpenID Connect Core Specification，ID令牌必須有exp和usually no more than a few minutes。 我認爲所有使用JWT的身份驗證提供程序都應遵循此要求。