Cookies和Jwt以及何时使用它们

Question

我是jwt的新手，在阅读了一些文章后，我了解到我们可以将我们的jwt存储在cookie中，并且会话仍然可以是无状态的。是吗？还有关于csrf攻击因为在使用时cookies我们可以容易发生csrf攻击我们有防伪来解决csrf的问题。 现在我的主要问题 - 我不确定这是否正确但是，当您为控制器实现CrossOrigin时使用cookie来存储jwt有一些特殊的缺点，这是我的服务器应用程序位于不同位置的场景我们在我们的客户端应用程序中调用api，该应用程序位于另一个城市？难道为什么许多网络服务提供商不使用cookie？

Answer 1

1. 是的，您可以将JWT（实际上是一个JWS）存储在cookie中，但仍然会使您的会话无状态。
2. 是的，就CSRF而言，使用cookie对jwt可能存在很大的危险，但是可以通过控制Referrer和Origin标头的服务器以及Http Cookie生命周期的限制将其降低到最低程度。

我希望它有所帮助。