Cookie与基于令牌的SPA身份验证？

Question

我使用AngularJS和Spring构建单页应用程序用于后端。 为了使我的后端无状态，我最近研究了JWT（JSON Web Tokens）。现在这里出现了混乱 -

一个。我应该将响应头上的JWT发送给客户端，然后通过ngCookie将其保存到cookie吗？如果是，我该如何处理XSS攻击呢？

湾我应该在后端生成的cookie中发送JWT并在客户端浏览器上设置cookie吗？

℃。 JWT安全吗？ （因为我可以轻松解码JWT，顺便说一下，我将在https上运行我的应用程序）

如果有更好的方法来保护我的应用，我很想知道这一点。

谢谢。

请分享任何信息。

Answer 1

JWT应保存在本地存储中。有关详细信息，请参阅此视频：

https://www.youtube.com/watch?v=X7t2pdJYHNI

JWT不安全。您必须使用https加密数据。