JWTは

Question

私たちのイントラネットシステムは、単にクッキー使用してユーザーがログイン後にユーザーデータを格納するプレーンテキストのクッキーにユーザーに関するデータを格納する対主張して使用する（ユーザーID、名前、役割を...）

私はJWTについて学んでいました今日のトークンを使って、それを現在の方法で使うとどんな利点があるのでしょうか？

だから、JWTの代わりにトークンを使用するために何らかの強い理由がある...クッキーにプレーンテキストを格納し、安全でないかもしれない何かのように思えるが、私はまた、他のウェブサイトは、これらのクッキーを見ることができないことを読みますか？

Answer 1

クッキーには、作成したドメインとは異なるドメインでアクセスすることはできません。この制限は「同一オリジン」ポリシーと呼ばれ、サイトのローカルデータを保護するためのセキュリティ手段ですが、クッキーが安全に保護されていることを意味するものではありません。

サーバー側のCookieコンテンツ例えば、ユーザは自分のユーザIDまたはロールを変更して、権限のないリソースにアクセスすることができます。

コンテンツが秘密鍵で署名されているため、JWTが役に立ちます。コンテンツを変更すると、デジタル署名が破損し、サーバーはトークンを拒否します。

代わりに、サーバーセッションを使用し、このデータをサーバーに保存することもできます。 JWTの欠点は、サーバーストレージが必要なことです。