验证jwt令牌后，应用程序崩溃
验证JWT令牌后，应用程序崩溃可能是由于以下几个原因导致的：
- 令牌格式错误：JWT令牌由三部分组成，即头部、载荷和签名，它们之间使用点号分隔。应用程序在验证令牌时，可能没有正确解析令牌的各个部分，导致格式错误，进而引发崩溃。在这种情况下，可以通过检查令牌的格式是否正确来解决问题。
- 令牌过期：JWT令牌通常具有有效期限制，一旦令牌过期，应用程序在验证时会拒绝该令牌。如果应用程序没有正确处理过期令牌的情况，可能会导致崩溃。解决方法是在验证令牌之前，先检查令牌的过期时间，并与当前时间进行比较，如果已过期，则拒绝该令牌。
- 令牌签名验证失败：JWT令牌的签名是用于验证令牌的完整性和真实性的重要部分。如果应用程序在验证签名时发现签名不匹配，可能会认为令牌被篡改，从而导致崩溃。解决方法是使用正确的密钥或公钥来验证签名，并确保密钥的安全性。
- 令牌验证逻辑错误：应用程序在验证JWT令牌时，可能存在逻辑错误，导致无法正确处理验证结果，进而引发崩溃。解决方法是仔细检查验证逻辑，确保正确处理验证成功和验证失败的情况。
对于以上问题，腾讯云提供了一系列相关产品和服务来帮助解决：
- 腾讯云身份认证服务（CAM）：提供了身份验证和访问管理的解决方案，可用于验证JWT令牌并管理访问权限。了解更多信息，请访问：腾讯云身份认证服务
- 腾讯云API网关：可用于构建和管理API接口，包括JWT令牌的验证和授权。了解更多信息，请访问：腾讯云API网关
- 腾讯云密钥管理系统（KMS）：提供了密钥的安全存储和管理，可用于保护JWT令牌的签名密钥。了解更多信息，请访问：腾讯云密钥管理系统
通过使用腾讯云的相关产品和服务，您可以更好地处理和验证JWT令牌，提高应用程序的稳定性和安全性。
相关·内容
1回答
火基会话到期
、、
看起来，当Firebase从v2转移到v3.xSDK(现在进入v4)时，决定删除自动会话过期的选项，以支持始终经过身份验证的模型。
这是一个很好的特性，但从网络安全的角度来看，我看到了一些问题，因为这是带有Firebase生成的令牌的专用选项，比如 (其中一些在链接的google讨论中得到了很好的解释)。
通常提供的在页面出口上调用user.signOut()的建议有一些漏洞。也就是说，如果客户端崩溃，那么这段代码就永远不会执行，因此策略就会崩溃。“页面登录”建议也有漏洞：
强制所有用户在每次页面加载/重新加载时登录(而不是目标)
当Firebase将大部分内容推送
浏览 2提问于2017-07-06得票数 8
回答已采纳
1回答
首先，我在post请求中添加了令牌，然后它成功地给出了响应消息“电子邮件已验证”。 Click here: to see response message 但之后，用户的jwt令牌被验证，然后应用程序突然崩溃并抛出错误： node:internal/process/promises:246
triggerUncaughtException(err, true /* fromPromise */);
^
Error [ERR_HTTP_HEADERS_SENT]: Cannot set headers after they are sent to th
浏览 35提问于2021-10-22得票数 0
回答已采纳
2回答
对于使用cas和jwt状态处理我的SSO登录名的逻辑，我有些麻烦。
在开始之前:用户到我的应用程序，需要访问cas包括作为参数在url中需要访问的应用程序的名称，例如: myapp.com
登录后，用户将302重定向到我的应用程序，并在url：myapp.com/?service=JWT-blablabla中追加一个JWT。
这就是我想象的应用程序的流程，用来检查用户是否被记录，或者他是否带着一个jwt来。
我有个问题：
如果用户附带了一个有效的JWT，但他在本地存储中仍然有一个有效的jwt，那么哪个JWT具有最新鲜的过期时间的优先级，还是旧的JWT由cas自动失效？请记住，jw
浏览 0提问于2019-05-10得票数 0
回答已采纳
我有一个客户端的应用程序: android应用程序，以及服务器端的应用程序:基于烧瓶的rest，使用JWT令牌登录。
为了更好的安全性，我想把登录和Google结合起来。
问题是:天真的解决方案是在客户端:我需要“拆分”2种情况的登录代码--这并不是很糟糕，但稍后对于服务器的每个请求--我需要检查是否有jwt令牌或google用户数据，并发送正确的调用。
然后在服务器端--我需要在Api的每个部分“拆分”我的代码，以检查它是否有jwt令牌或Google用户。这个天真的解决方案在我看来是丑陋的，我在问是否有更好的方法来解决这个问题。
我的朋友建议我放弃jwt连接，只使用google，但从用户的角
浏览 0提问于2017-10-10得票数 3
回答已采纳
我在Django rest框架中的项目中一直使用内置的令牌身份验证。但是现在我要转到简单的jwt上。但有一件事我很困惑。
在令牌身份验证用户中，如果从前端登录将返回一个令牌，但在jwt文档中，我看到了以下三个请求：
urlpatterns = [
url(r'^auth-jwt/', obtain_jwt_token),
url(r'^auth-jwt-refresh/', refresh_jwt_token),
url(r'^auth-jwt-verify/', verify_jwt_token),
]
我不太明白
浏览 9提问于2021-03-31得票数 0
1回答
我使用Azure作为spring引导应用程序的用户身份验证。我创建了一个应用程序来获取登录用户的访问令牌(令牌-创建者应用程序)。在这个应用程序中，'/ token‘API从@RegisteredOAuth2AuthorizedClient读取访问令牌，并返回与响应相同的令牌。
然后，我必须使用返回的令牌作为rest的承载令牌，用于具有相同客户端id和相同配置的另一个应用程序。
但是，当我使用该访问令牌时，它会给出以下错误：
承载error="invalid_token"，error_description=“在试图解码JWT时出错:已签名的JWT被拒绝:无效签名”，e
浏览 5提问于2021-04-07得票数 0
1回答
我读过关于选择正确的身份验证机制的文章，我理解JWT只是定义了一个令牌，而OAuth是一个可以使用JWT的完整框架。还有其他框架(Firebase?)以及象征性的标准。
现在，对于我的具体用例，我有一个带有Angular2的单页微服务应用程序，它将在一个相当老的B2B环境(2GB ram，IE11)中，在浏览器中运行一整天，没有任何刷新。因此，社交登录是不需要的，轻量级的解决方案更可取。你有什么建议吗？
浏览 3提问于2017-03-15得票数 1
回答已采纳
2回答
我正在为我的应用程序使用JWT身份验证方案。我做了一些关于如何存储、使用访问和刷新令牌的研究，我有几个问题我没有找到真正的答案。对于这个应用程序，我使用React作为前端，使用.NET 6 Web作为备份。
问题1:在哪里存储什么？
基于我所做的研究，出于安全考虑，本地存储并不是存储jwt令牌的好地方。因此，第二个最好的选择可能是用于jwt令牌的HttpOnly cookie和用于刷新令牌的本地存储。但是，我确实读过一些文章，其中jwt令牌存储在本地存储中，而刷新令牌存储为HttpOnly cookie。哪种方法更好，每种方法的优缺点。P.Si将旋转这些令牌，即，一旦刷新旧jwt令牌，将生成一
浏览 13提问于2022-11-15得票数 0
1回答
我有一个应用程序设置如下：
角度UI -> Spring云网关->基于Spring引导的服务
我试图使用仅使用以下端点的有限Oauth SSO服务器验证我的应用程序：
/authorize
/token
/userdata
SSO不提供/introspect端点，也不发出JWT。
我想要做的是让Spring来处理身份验证，但是基于/userdata的结果，我想生成自己的JWT来中继到服务。
我的问题：
这个是可能的吗？
如果是这样的话，有人能给我指点或者引导我找到让我开始工作的资源吗？
浏览 6提问于2022-10-19得票数 0
我的应用程序中有以下代码，比如WebApp1：
app.UseIdentityServerBearerTokenAuthentication(new IdentityServerBearerTokenAuthenticationOptions
{
Authority = "IdentityServerPath",
RequiredScopes = new[] { "write", "role", "all_claims" },
Val
浏览 2提问于2016-04-25得票数 4
1回答
我没有发现与nodejs有关的疑问。
我是nodejs的新手，我正在使用JWT框架来创建用户令牌和会话。我想知道如何防止会话攻击(使用令牌窃取用户会话)，以及如何实际保护访问不受需要身份验证的路由的影响。
目前，具有身份验证和路由的JWT代码如下：
JWT
const jwt = require('jsonwebtoken');
module.exports.sign = (userId, expiresInValue) => {
const userToken = jwt.sign({ userId }, process.env.SECRET, {
浏览 1提问于2018-11-30得票数 1
回答已采纳
1回答
我正在构建一个内置于react中的前端，它可以访问我也正在构建的多个微服务apis。对于auth，我已经构建了一个jwt登录系统，但是我想知道处理刷新令牌的过程是什么。
jwt中的刷新令牌是否包含用户信息，还是在它自己的令牌中使用了不同的加密以进行额外的保护？
如果jwt是无效的，需要刷新，那么如果它是它自己的标记，那么其他的微服务应该如何响应这个react应用程序呢？是否使用常见的http状态代码？
我已经读过，刷新令牌应该比jwt更安全，因为它可以用于发出jwt，并且将有更长的活动时间。是否有任何额外的安全过去的加密可以完成服务器端或客户端，但尚未完成的jwt？
何时应该使
浏览 3提问于2017-02-27得票数 3
回答已采纳
2回答
我试图在Spring WebFlux应用程序中使用Security使用JWT设置身份验证。我使用的是基于自定义JWT声明的自定义授权方案。我遇到的问题是，当我试图调用受保护的端点时，Authentication failed: An Authentication object was not found in the SecurityContext会失败。
下面是我使用的SecurityWebFilterChain：
@Configuration
@EnableWebFluxSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
浏览 13提问于2022-07-21得票数 0
回答已采纳
使用https://github.com/netlify/gotrue-js与netlify的身份验证服务(称为"Identity")对接需要多频繁地执行以下操作： const user = auth.currentUser();
const jwt = user.jwt();
jwt
.then(response => console.log("This is a JWT token", response))
.catch(error => {
console.log("Error fetching JWT token&#
浏览 38提问于2020-03-26得票数 1
回答已采纳
1回答
在中，JWT令牌验证过程被描述为验证令牌签名，然后验证其声明。
因此，验证完全发生在客户端，而不会询问Azure AD服务器令牌是否仍然有效。
是否有任何选项用于令牌的“扩展”验证，即通过查询Azure服务器，以便授予资源访问权限的应用程序可以确保该人员仍然被授权并具有对该资源的访问权限。
浏览 21提问于2020-02-06得票数 3
回答已采纳
我正在为它制作Android应用程序和API。我想让用户登录到应用程序，直到它注销或重新安装应用程序等。但我也想用JWT来保护API，这个API将在一个小时内过期。
我的想法是，在成功登录后将用户名保存在应用程序存储中，并保留最后一个JWT。然后，当应用程序打开时，它将与API通信，即使JWT过期但“有效”，它也会重新发出新的令牌。但这是安全的解决方案吗？还是有更好的解决办法？
浏览 2提问于2020-01-26得票数 1
回答已采纳
我正在使用Zappa将django REST API部署到AWS Lambda。对于身份验证，我想在我的angular web应用程序、移动应用程序和django REST API之间使用JWT令牌。如何在没有任何会话或cookie的情况下保持我的django REST API的无状态？
浏览 0提问于2019-04-18得票数 1
4回答
节点js、JWT令牌和后面的逻辑
、、、、
我使用JWT来保护节点js
要创建JWT令牌用户会话，只需执行以下操作：
-> auth/signup
-> jwt.sign(user_profile,secret,expireInMinutes:{900000000 /*almost never expires*/});
或在登录呼叫情况下
-> auth/login
-> jwt.sign(user_profile,secret,expireInMinutes:{900000000 /*almost never expires*/});
每次调用受保护的url时，我都会检查由JWT中间
浏览 8提问于2014-02-20得票数 10
回答已采纳
微软似乎不会为个人帐户发行JWT访问令牌。
在Azure中，我创建了一个应用程序注册类型：“仅限个人Microsoft帐户”。
我的SPA使用应用程序注册，我可以通过它进行身份验证。
在对我的SPA进行身份验证之后，它将接收一个id令牌和一个访问令牌。
但是访问令牌看起来不像JsonWebToken。
AFAIK访问令牌总是以字符'eyJ‘开头，但是Azure AD发出的令牌以'EwC’开头，当我在jwt.ms上调试访问令牌时，控制台告诉我“指定的无效令牌:意外令牌”。
但是，只有当我选择帐户类型为“仅限于个人Microsoft帐户”时，才会出现这种情况。
如果我使用
浏览 5提问于2021-08-22得票数 0
回答已采纳
3回答
目前，我们正在就保护我们的多个微型服务进行辩论。主要关注的是，提供给我们的JWT令牌将在调用完成之前过期。(这是在同步设计中)这里有三项建议：
客户端应用程序在长时间调用之前有一个“确保(int分钟)”方法，必要时调用令牌提供程序。如果JWT击中了安全过滤器，就让它过期。
客户端应用程序同时发送JWT和刷新令牌。如果JWT过期，请使用刷新令牌获取新令牌，并通过令牌提供程序将其放置在响应标头上。
创建“登录”服务。登录缓存刷新信息并返回JWT。通过令牌提供程序发送旧的JWT以获得刷新的JWT。
有什么想法？注:我投第一票，其余的似乎不安全，但方便。
浏览 0提问于2018-02-19得票数 6
对于我的SPA应用程序，我使用Firebase作为身份验证提供者。我还使用此令牌使用我的后端服务器进行身份验证。Firebase 文档读取：
“警告:不要在后端服务器上接受普通的用户ID，比如可以使用GoogleSignInAccount.getId()方法获得的ID。修改后的客户端应用程序可以向服务器发送任意用户ID以模拟用户，因此必须使用可验证的ID令牌来安全地获取服务器端已登录用户的用户ID。”
因此，对于与用户相关的api调用，我不会将原始的userId传输到后端，而是总是发送整个JWT令牌，然后继续验证它，并从中提取userId令牌。然后，我用这个作为我的进一步后端逻辑。
考虑到我的
浏览 0提问于2020-03-27得票数 1
回答已采纳
1回答
我是JWT新手，我想知道当用户签出应用程序时，是否有可能使服务器端的JWT失效/无效(我还想知道这样做是否有意义！)想法是：
用户在其应用程序中单击“退出”链接。
App打电话给POST https://api.myapp.example.com/auth/invalidate
JWT (它是HTTP请求报头中的授权/承载令牌)以某种方式失效
现在，没有人可以再使用那个JWT了。
我不确定这是否是一种非传统的签出逻辑的方法，或者让JWT保持有效是否可以接受，即使在用户签名之后也是如此(我想我可以将JWT的有效期缩短到60分钟或更多)。
所以再次问一次:想知道是否有可能使
浏览 2提问于2018-01-08得票数 3
回答已采纳
我有一个场景，OIDC看起来很合适:一个移动应用程序，用户需要从服务器上获取一些私有数据。我读过OIDC教程，我想我理解它们，但在全球图片中仍然有一个关键的“漏洞”。
总之，如果我正确地理解了OIDC的代码流，这是对交互的简要总结：
移动应用程序将与OIP授权端点联系，在scope中表示我们对用户的电子邮件感兴趣。它将作为redirect_uri提供一个指向运行在移动应用程序中的简单web服务器的指针。
OIP将通过redirect_uri与移动应用程序联系，并向其提供授权代码。
移动应用程序现在将与OIP令牌端点联系，并向其提供步骤2中获得的授权代码，它还将为OIP提供一个必须发
浏览 3提问于2017-01-24得票数 1
回答已采纳
1回答
我希望在expressJS应用程序中使用JWT实现身份验证。
在搜索了一些网站之后，我了解了JWT的概念，但是我无法使用expressJS实现JWT。
在expressJS中，我没有得到任何JWT的确切示例。
我已经阅读了节点模块的阅读说明，但我的问题是如何生成JWT，以及如何为每个请求验证接收到的JWT。
确切的过程是：
生成JWT
解码JWT
验证JWT
此外，在下面的示例中，的含义是什么：
var jwt =需要量(‘express-jwt’)；app.get(‘/受保护’，jwt({保密：‘shhhhhhared-req.user.admin’} })，函数(re
浏览 2提问于2015-04-25得票数 1
回答已采纳
1回答
基于角色的授权使用JWT
、、、、
背景
我正在使用Security开发一个web应用程序，并且第一次尝试使用JSON令牌进行身份验证。应用程序应该根据用户角色限制对某些URI的访问。它应该提供密码更改选项，并使Admin用户能够更改其他用户的角色。
在我遵循的中，在向服务器发出的每个HTTP请求中，数据库都会被CustomUserDetailsService击中，以加载用户当前的详细信息，这似乎严重影响了性能：
public class JwtAuthenticationFilter extends OncePerRequestFilter {
//...
@Override
protected v
浏览 1提问于2018-05-22得票数 3
回答已采纳
2回答
我想要创建角形9+ Spring应用程序与强烈的安全投诉PCI安全标准。
为了在使用角启动和Spring引导时具有高度安全性，用户会话首选哪一种安全协议：
会话曲奇
OAuth2
OAuth2 + JWT
JWT
目前，我正在考虑使用JWT来保护应用程序。您能分享一下我可能使用JWT的问题吗?这是一个不错的选择吗？
浏览 0提问于2020-05-23得票数 0
我有简单的asp.net核心web应用程序和Is4的基本解决方案。
在asp.net核心中，我使用addCookies()方法，但是is4返回jwt令牌，当我使用cookies时，为什么会有jwt？
当我打电话的时候我就知道了
HttpContext.getTokenAsync(openIdconnectparameterNames.idToken)
这里有jwt..。如果我使用cookie，有人能解释我为什么得到JWT吗？
浏览 4提问于2022-09-06得票数 1
回答已采纳
我正在使用开放式ID连接协议来验证和授权基于节点js的应用程序中的用户。对于Oauth2，我们可以使用两种类型的令牌格式- JWT和不透明令牌。哪一个更适合基于Node JS的应用程序？这两种令牌类型的存储策略应该是什么？将这两个令牌存储在会话cookie中是否合适
浏览 0提问于2020-06-15得票数 0
1回答
Active Directory和Authentication在一般情况下并不是我认为自己是专家的领域。不幸的是，维护大型.NET服务器应用程序的任务落在我的肩上，我的客户有一个我需要回答的问题。
.NET应用程序使用Active对帐户进行身份验证。在初次登录时，它将使用JwtSecurityTokenHandler生成一个JWT令牌。我可以看出令牌的生存期被设置为60天，并且我可以看到后续请求解码传入令牌的位置，以便验证请求。
我的客户面临的问题是:如果当用户拥有有效的JWT令牌时，他们从中删除用户会发生什么？令牌将继续工作，直到它从创建之日起60天后到期，还是会立即停止工作？
我对JWT机
浏览 4提问于2020-05-06得票数 0
回答已采纳
我们有一个WordPress应用程序，它将与父系统链接。我们希望使用JWT对父级进行身份验证。这样做的想法是，如果用户没有登录到父站点上，则不应该允许他访问WordPress站点(只有前端，始终是管理员专用的仪表板)。如果用户试图通过书签或历史记录访问WordPress应用程序，我们将需要将他发送到父站点进行登录。除了身份验证之外，不会对父站点进行API调用，因为WP应用程序有自己的数据。这就引出了我的问题。
JWT适合我们的情况吗？
我将如何将它与WordPress集成？
我是否需要修改WP的本地身份验证系统以使其与JWT协同工作？
我的当前方法是:用户登录到父系统，并遵循指向WordPre
浏览 0提问于2015-09-25得票数 4
回答已采纳
1回答
我正在创建一种“社交网络”。现在，我正在创建身份验证部分。今天，我学习了JSON Web令牌。
1)我读到JWT是可以安全使用的，因为它们是用密钥签名的。但后来我在网上找到了一些工具，比如。我尝试使用firebase/ PHP -jwt用php构建一些JWT令牌。像jwt.io这样的工具可以提取我放在JWT中的数据(比如用户ID)。这怎么可能是安全的？难道不能有人使用旧的JWT创建一个新的JWT，但使用不同的用户ID吗？
例如:我创建了以下令牌：
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJNeUFQIiwiaWF0IjoxNTE2NTYzM
浏览 0提问于2018-01-22得票数 0
3回答
我正在使用一个.Net Core和一个.Net Core应用程序。它们都使用Azure B2C对用户进行身份验证。但是，为了从Web获得来自HttpRequest的响应，我需要为我的web应用程序上的登录用户提供来自B2C的JWT访问令牌。是否有一种方法可以使用经过身份验证的“用户”在控制器内获取此访问令牌。
我尝试访问已签名用户的声明，但没有取得任何进展，我还使用jwt.ms来检查B2C工作流运行良好，并且正在生成JWT令牌，并且它也能工作。MVC应用程序正在对用户进行身份验证，而web可以很好地使用硬编码令牌。我只需要从已签名的用户那里获得访问令牌，而不是硬编码。
我希望能够获得B2C J
浏览 0提问于2019-06-20得票数 1
回答已采纳
1回答
我正在用Node.js做一个简单的文件转换器应用程序接口，并且我希望避免在请求中滥用。所以我正在寻找一种方法来使用JWT，而不需要userModel，登录等。
但我在网上找不到东西。
谢谢
浏览 3提问于2017-09-14得票数 3
我正在创建一个使用nodejs后端和reactjs前端与mysql数据库的set应用程序，其中每个用户都有自己的独立数据集。 我需要维护会话来识别用户(例如，哪个用户单击了reset password按钮)，同时还需要实现注销功能(必要)。 我读过一些文章，指出使用jwt注销与目的不符，因为它需要在数据库中存储令牌。 我很困惑是使用cookie(安全性较低)还是jwt与数据库一起维护会话，因为我以前从未实现过这一点。
浏览 20提问于2019-05-31得票数 0
2回答
伪造有效的JWT令牌
、、、
成功登录后，我的节点应用程序返回一个JWT令牌。
JWT使用用户ID、过期日期和机密进行签名。
下面是如何使用id: 1为用户生成令牌：
return jwt.sign({
_id: 1,
exp: exp_date),
}, "MY_SECRET");
};
因为我的后端应用程序从它的令牌中标识用户：
使用"id:1“的用户是否可以编辑他的有效令牌，用"id:2”设置它，然后在后端应用程序中开始使用"id:2“作为用户？
浏览 3提问于2016-10-01得票数 0
回答已采纳
在jwt.io网站上解码时，我可以看到emailId的信息，但是jwt没有得到我想要的东西。任何想法如何在ROR应用程序中提取此信息。 为了解码，我尝试了这个 decode_token = JWT.decode apple_token，""，true，{算法：'HS256'}
浏览 22提问于2021-07-15得票数 0
回答已采纳
2回答
我有一个SPA (角)应用程序，连接用户与Azure B2C。然后，应用程序获得一个JWT。然后，应用程序必须使用WSO2 APIM背后的API。我希望通过Wso2 APIM验证JWT。
水疗-> AZUREADB2C
SPA <-- AZUREADB2C (JWT)
SPA -> APIM (验证JWT) ->后端API
我应该在APIM中创建一个自定义密钥管理器吗？或者还有另一种环境？
浏览 7提问于2022-06-03得票数 1
我刚接触JWT令牌，我想知道是否有一种方法可以使用简单的JWT令牌创建临时链接，我已经在我的应用程序中使用JWT令牌进行身份验证，如果没有这样做的方法，最好的方法是什么？ 谢谢。
浏览 11提问于2021-07-29得票数 0
回答已采纳
2回答
我将Django 3.2与django.auth.contrib应用程序和djangorestframework-jwt=1.11.0结合使用。在收到对经过身份验证的资源的请求并验证用户可以访问该资源时，如何延长/重新发出新的会话令牌？我使用以下序列化程序和视图登录用户并发出初始令牌
class UserLoginSerializer(serializers.Serializer):
username = serializers.CharField(max_length=255)
password = serializers.CharField(max_length=128,
浏览 5提问于2021-10-11得票数 1
回答已采纳
我已经建立了一个网站与vuejs前端和拉拉后端。
唯一的登录方式是通过Facebook登录社交网站
一切都很好。
现在，我正在构建一些使用Facebook登录但需要与相同的web交互的本地应用程序(Ios/Android)。
我想使用JWT来保护本机-> React的API。
我在Laravel端设置了JWT w/ Dingo，并且能够使用JWTAuth::fromUser()生成令牌。我已经建立了一些API端点来使用令牌进行身份验证。到目前一切尚好。
现在这部分变得粘稠了。我知道，在Laravel方面，您可以与任何用户一起创建JWT令牌。现在，JWT“标识符”只是“id”。我的理解是，
浏览 3提问于2017-05-29得票数 3
我有一个使用json令牌的节点应用程序：
var jwt =需要量(‘jsonwebtoken’)；
如果登录成功，则此库将以这种方式创建令牌：
var payload = {mydata: 'abcd'};
var token = jwt.sign(payload, 'secret', {
expiresIn: 28800
});
return {
success: true,
message: 'Success',
token: token
};
我不明白的是令牌存储在服务器上的位置。如果接收令牌的同一个用户
浏览 0提问于2017-02-06得票数 7
回答已采纳
4回答
JWT令牌登录和注销
、、、、
嗨，我正在创建使用REST端点与服务器端通信的移动本机应用程序。
我以前有开发本机客户端的经验，但在存储用户信息的同一表中，我有一个简单的令牌(随机生成的字符串)存储在DB中。因此，它就像浏览器中使用的会话，但是每个请求在头中都有令牌，而不是cookie。
最近，我展示了JWT令牌。这似乎是保护私有端点的好方法。您可以从移动客户端请求令牌，只要您通过+登录并得到响应生成的令牌。
但重要的是，此令牌不存储在服务器上的任何位置，服务器使用秘密字验证令牌，这对于服务器来说是私有的，就像私钥一样。
对于安全端点来说，这是可以的，但是如果我需要用户会话，应该做些什么，例如Facebook、Amazon、
浏览 6提问于2015-10-02得票数 2
2回答
我最近开始保护我的web应用程序，我使用了Spring身份验证来保护我的REST Framework.So endpoints.And，我还创建了一个不同的示例演示，其中我提供了使用Security的简单登录和注销功能。
现在，我试图在登录/注销functionality.But中使用JWT身份验证，我觉得这是错误的，我认为JWT应该只用于保护REST服务的端点，而不是登录/注销功能，这是一种有状态的活动，而JWT身份验证不是最好的方法。
这是我的误解吗? JWT也可以用于登录/注销吗?对它的任何输入都会非常感谢。
浏览 0提问于2018-12-07得票数 0
回答已采纳
1回答
我有一个grails 3应用程序，其中的身份验证是由Siteminder完成的。在用户通过身份验证之后，我们应该能够生成一个JWT令牌，并使用该调用来保护其他rest。我使用RequestHeaderAuthenticationFilter对请求头进行了身份验证。在这种情况下，任何人都可以帮助集成JWT令牌。 感谢就是进步
浏览 27提问于2019-02-04得票数 1
回答已采纳
1回答
目前，我正在从事一个具有保护路由(受JWT授权保护)的React项目。
根据用户的权限，某些页面呈现的方式不同。这些权限是在令牌负载中加密的。
由于JWT令牌可以被解密和修改，所以理论上用户可以修改令牌，以便访问他们真正不应该访问的页面。由于令牌失去了有效性，后端服务器将不会处理特定用户的任何请求，因此不会造成任何损坏。
我仍然不希望用户仅仅通过修改JWT令牌就能够访问受保护的页面。我对这个问题的解决方案是向一个端点发送一个请求，该端点验证令牌。根据端点的响应，将进行第二个API调用，然后该调用将返回受保护页面所需的数据。如果验证端点返回令牌不再有效，则用户将被重定向到登录页。
登录>
浏览 5提问于2020-06-01得票数 0
2回答
我有我的应用程序的登录路径。我使用jwt tokens来保护路由，但是我很难完全理解secret key的使用。
我想我需要使用秘密密钥来验证jwt。每当用户登录时，我都会向用户发送JWT Token和Secret key。JWT存储在本地存储器(电话或应用程序存储)中。
我该怎么看密匙？我应该同时存储到本地和数据库吗？
登录路径
api.post('/api/login', (req, res) => {
var secretKey;
require('crypto').randomBytes(48, function(err, buffer) {
浏览 0提问于2019-02-25得票数 1
2回答
我使用JWT在PHP中创建了一个api。我已经为代币设定了10分钟的到期时间。如何验证用户在10分钟后是否仍然登录？
与OAuth一样，提供刷新令牌和访问令牌，使用刷新令牌，我们可以生成新的访问令牌。但我在一个git线程中找到了The JWT standard does not have any concept of a "refresh token" or "access token".。
创建令牌的JWTHandler函数：
public function jwtEncodeData($iss, $data)
{
$this->token =
浏览 14提问于2022-03-31得票数 1
回答已采纳
1回答
我已将令牌过期设置为1分钟，但在1分钟后不会收到401未经授权的错误。
Startup.cs
.AddJwtBearer(options =>
{
options.TokenValidationParameters = new TokenValidationParameters
{
ValidateIssuer = true,
ValidateAudience = true,
浏览 0提问于2020-05-20得票数 3
回答已采纳
2回答
我正在查看已实现的用于用户登录的认知功能，并希望更好地理解验证JWT的过程。
所讨论的应用程序是在asp.net 4.5MVC上，而与.NET核心无关。我能在网上找到的关于AWS的唯一信息是关于.NET核心的。
我理解每种令牌类型的含义，如这里所记录的：
我还理解验证JWT：所需的步骤。
我的问题是，哪个JWT需要验证，在什么阶段？
例1.
用户登录后，一旦登录，就会使用访问、ID和刷新令牌返回它们。
是否需要在此时对所有令牌进行验证，还是只验证访问令牌？
刷新令牌是否仅在尝试使用它之前进行验证(以获得新的访问和ID令牌)？
或者是否应该在任何授权的内容请求中验证所有令牌？
，哪些令牌应该存储
浏览 5提问于2020-01-17得票数 5
1回答
在验证jwt令牌之前阅读它安全吗？
我的同事正在实现一个“检查jwt中的aud值和相应的路由”。这意味着：
第一个有效载荷正在被应用程序的代码读取。
然后路由到正确的验证器。
验证令牌
在我们的应用程序中加载有效负载
我认为这是不安全的，但我不知道如何证明。有什么想法吗？
浏览 0提问于2022-02-09得票数 0
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
对象存储
云直播活动推荐
腾讯云开发者
