目前有很多文章讨论在客户端存储JWT的最佳位置。简而言之,它们都涉及以下内容:
仅限HTTP安全Cookie-无法遭受XSS攻击,但容易受到XSRF攻击
头部(保存在本地存储或DOM中)-无法受到XSRF攻击,但容易受到XSS攻击
我认为我想出了一个非常聪明的解决方案,但是,由于我对安全问题完全没有经验,所以我不确定它是否真的聪明或愚蠢。
那么,如果将JWT分割并将其一部分保存在Cookie中,另一部分保存在头部中,会变得不可破解吗?
这也应该解决“注销”问题——删除头部部分将使浏览器无法登录。