仍然可以轻松看到JWT令牌的有效载荷

Question

我使用jsonwebtoken.js

这是我的令牌：

  

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1bmlxdWVJRCI6IkgtOWYyN2EzLTE1NDgyMiIsImlhdCI6MTU1NDI5NDI2OCwiZXhhIPnMJNJ0JDQNQ0NDY3MDY4

我是通过在其中输入privateKey来实现的，但是当我复制并粘贴此令牌并将其输入到网站https://jwt.io/上时，数据仍然很容易看到。

标题

{
  "alg": "HS256",
  "typ": "JWT"
}

有效负载：

{
  "uniqueID": "H-394ec8-204533",
  "iat": 1554294378,
  "exp": 1554467178
}

我的代码：

jwt.sign(token_order, keys.jwt.secretOrPrivateKey, { expiresIn: keys.jwt.expiresIn });

键：

jwt:{
    secretOrPrivateKey:"AAAABB3L-X59kbcuqwzxc--23kv,df594.41239zsc92231",
    expiresIn:'2d' 
},

我做错了吗？为什么可以看到数据？

Answer 1

不，您没有犯任何错误，

  

重要的是要了解，使用JWT的目的绝不是以任何方式隐藏或遮盖数据。使用JWT的原因是为了证明发送的数据实际上是由真实来源创建的。

有关更多信息，您可以查看this post