基本上,我使用JWT身份验证,在成功登录后返回JWT令牌、过期时间和用户的GUID(应该吗?)。
让我们举个例子:
我有一个需要进行身份验证的特定用户数据的端点。
那么,我应该如何做呢?
假设 user1 生成了他的jwt:“a.b.c” user2 生成了他的jwt:“c.b.a”
我该如何确保用户1不会使用他的JWT来访问用户2的数据?
我曾考虑过(如我之前提到的)发送用户的GUID与JWT令牌并将其用作标识该用户的方式,但如果某人拥有其他人的GUID,则他将能够操纵他的数据,这是不好的。
提前谢谢。
让我们举个例子:
我有一个需要进行身份验证的特定用户数据的端点。
那么,我应该如何做呢?
假设 user1 生成了他的jwt:“a.b.c” user2 生成了他的jwt:“c.b.a”
我该如何确保用户1不会使用他的JWT来访问用户2的数据?
我曾考虑过(如我之前提到的)发送用户的GUID与JWT令牌并将其用作标识该用户的方式,但如果某人拥有其他人的GUID,则他将能够操纵他的数据,这是不好的。
提前谢谢。