如何使用JWT令牌保护SPA上的敏感数据

Question

我正在考虑使用JavaScript制作应用程序并使其成为SPA。

使用JWT令牌对用户进行身份验证并在应用上设置用户角色，保护敏感内容的最佳方式是什么？

使用html模板记录页面不好？我是否应该始终返回api中的敏感内容？

谢谢

Answer 1

一切动态应该通过您的Web服务。如果你不会使用任何不正确的东西（比如使用没有注入防护的SQL驱动程序），那么不会有任何不安全的情况（至少在第一阶段）。

此外，为了防止MiM攻击，您应该使用SSL/TLS。

Answer 2

您可以加密您的JWT。这种加密在RFC7516中定义。

根据服务器端和客户端（JS）上使用的编程语言，您可能会发现支持JWE的库。

在jwt.io处，您会找到这些库的列表。