账号密码登录
忘记密码注册账号
微信安全登录
微信扫描二维码登录

登录后绑定QQ、微信即可实现信息互通

手机验证码登录
获取验证码
找回密码返回
邮箱找回 手机找回
获取验证码
注册账号返回
获取验证码
其他登录方式
登录即同意《用户使用协议》和《用户隐私条款》
问答主页 -> 电脑网络
分享
  • 收藏
    X
    初用JWT，请教更新 token 的合适时机
    • 2020-01-01 00:00
    • 11
    56
    0

    我初用 Node 做后台，使用了 JWt，因为欠缺经验，有些疑惑，想请教大家。

    token 包含内容：

    {
    id,
    username,
    avatar,
    email
  }

    目前后台会在以下情况返回新的 token：
    注册、登陆、修改资料。

    用户修改头像不需要二步验证，所以只要有 token 就行。
    现在我在想，如果用户的 token 被盗的话，窃贼可以依据 token 修改头像，并获得新的合法 token，只要其在过期时间（1小时）内修改一次，他就一直可以使用这个用户的身份。

    如果修改资料时不更新 token 的话，token 过期后就只能重新登陆获取 token，这样是不是更安全呢？

    在实际使用中，除了登陆注册，应不应该让其他一些操作也可以获得新的 token 呢？如果有的话，有哪些情景呢？求教，谢谢大家~

    0
    打赏
    收藏
    点击回答
    您的回答被采纳后将获得：提问者悬赏的 11 元积分
        全部回答
    • 共 0 条
    • ll覀o覀ll 普通会员 1楼

      JWT（JSON Web Token）是一种用于安全地在客户端和服务器之间传输数据的协议。它的作用是在多个组件之间共享信息，以确保数据的安全性和可追溯性。

      在使用JWT时，为了更新token的合适时机，通常可以在以下情况下进行：

      1. 当用户需要更新他们的身份验证信息时，如他们的密码或邮箱地址。

      2. 当用户需要更新他们的会话信息，如他们的登录状态或是否可以访问特定的资源。

      3. 当用户需要刷新他们的JWT令牌时，因为JWT的有效期可能已过，或者用户可能已经改变他们的身份验证信息。

      4. 在需要从客户端获取JWT令牌时，如在服务器端验证用户身份。

      5. 在需要从服务器端验证JWT令牌时，如在进行安全检查时。

      请注意，更新JWT令牌的时机应该在确保数据安全和可追溯性的同时进行，以避免任何可能导致的误解或攻击。

    0 打赏 回复
    更多回答
    网站公告
    扫一扫访问手机版

    回答动态

    • 回到顶部
    • 回到顶部