指南

JWT 存放位置：localStorage 与 Cookie

在浏览器中把 JWT 存放在哪里，会改变你的 XSS 与 CSRF 风险。

localStorage：使用方便，但可被 JavaScript 读取，因此易受 XSS 攻击 —— 注入脚本即可窃取令牌。
HttpOnly Cookie：JavaScript 无法读取，能抵御 XSS，但会自动发送，因此需要 CSRF 防护（SameSite / CSRF 令牌）。
推荐：刷新令牌放在 HttpOnly、Secure、SameSite 的 Cookie 中，访问令牌短暂放在内存（变量）中，这种组合更安全。
无论放在哪里都必须使用 HTTPS，令牌寿命要短，且不要把敏感信息放入载荷。

亲自解码一个令牌吧只需粘贴，头部、载荷和声明立即展开。

打开解码器

相关条目

JWT（JSON Web Token）是一种经过签名的小型 JSON 令牌格式，用于在各方之间安全地传递信息。

JWT 的三部分结构

每个 JWT 都由 header.payload.signature 三部分组成，每部分都经 base64url 编码。

JWT 安全检查清单

安全使用 JWT 的关键原则简要清单。

JWT 与会话认证的对比

基于令牌（JWT）的认证与基于服务器会话（Cookie）的认证的区别及选择依据。

常见 JWT 错误及解决

处理 JWT 时最常遇到的错误及其原因与解决方法。

访问令牌与刷新令牌

短寿命的访问令牌，以及用于续发它的刷新令牌各自的作用。

JWS 与 JWE（签名 vs 加密）

JWT 通常是签名的 JWS；若要隐藏内容则使用加密的 JWE。二者的区别如下。

自定义声明（公开 vs 私有）

除注册声明（iss、exp 等）外，你自行定义的声明种类及避免冲突的方法。

OAuth 2.0 与 OpenID Connect 中的 JWT

梳理 JWT 在 OAuth 2.0 和 OpenID Connect 中扮演的角色。