ブラウザにJWTトークンをどの程度安全に保管していますか？

Question

私はJWTを使用してトークンベースの認証を実装しています。これまでに読んだことから、セッション全体を通してそれを保存する方法はlocalstorage/cookieです。その値は、devツールバーを使ってクッキーを見ることができる誰かにはクリアテキストで書かれているので、誰かがそのトークンを使用するのを止めて、公開されているエンドポイントに送るのはどうですか？

Answer 1

通常、devツールバーからトークンを取得できるユーザーは、通常の方法でトークンを取得できたユーザーと同じです。セキュリティ上の問題ではありません。

各JWTトークンには、すべてのリソースによってチェックされるオーディエンス（aud）クレームが含まれている必要があります。したがって、トークンは、発行されなかったエンドポイントにアクセスするために使用することはできません。