JWT 的token被盗用了怎么防止

2018-07-30 10:06:21 1.2万阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

【网络】Cookie、Session与Token、JWT及CSRF攻击由于HTTP是一种无状态的协议，所以当我打开淘宝，登录后，点击跳转结账（另一个页面），服务器端就不知道现在发请求的是不是我了，就得让我再次登录来确认身份。所以每一次请求的发生都是全新的，那么就需要一个来记录身份并且验证的东西，相对于通行证一样。这就是Cookie和Session的作用，流程客户端首次发出请求，服务器端收到后开辟一块 Session 空间（创建了Session对象），同时生成一个 sessionId ，并通过响应头的 **Set-Cookie：JSESSIONID=XXXXXXX **命阅读详情

无状态的JWT 把token返回给用户A，假如现在B用户盗用了这个token，那岂不是也能携带这个token去请求了？如果说服务端吧token存起来再次校验，那就成有状态的，那为嘛不直接使用session，请教下各位大虾

...全文

为什么要使用Redis——JWT Token 黑名单特性只有前端清除使用 Redis 黑名单退出后 Token 是否失效❌ 仍然有效✅ 立即失效黑客能否继续使用✅ 可以，直到过期❌ 不能安全性低高实现复杂度简单稍复杂需要额外组件无Redis性能影响无每次请求查询 RedisRedis Token 黑名单是解决 JWT 无状态认证安全问题的标准方案。即时失效：用户退出登录后 Token 立即失效安全防护：防止 Token 被盗用后长期有效自动过期：Redis 可以设置与 Token 相同的过期时间，自动清理。阅读详情

这里有bug

Web 开发 81,108 成员 341,721 内容

+ 关注 + 加入社区

切换为时间正序

买房动力十足 2021-04-12

打赏
举报

只能说在token里面加入用户id标识，接口传过来的用户id 跟token里面的用户id对比不一致就拦截一致就标识是同一个人，猜对别个memberId的概率太小了

aliang 2020-11-21

打赏
举报

引用 17 楼 java大狗的回复:

引用 15 楼 dogMasterGo 的回复:
[quote=引用 7 楼紫剑_水的回复:]token被盗了怕什么，token自身加密了，你自己也可以在token基础上拼接字符串，别人拿什么破
我也是这样处理的,但还是怕抓包,放在请求头里也怕被抓吗

打个比方有个人不注意，把别人的token拿过来，权限就大了，确实会有这类问题，就算加密了也没用。[/quote] 比如当前上网设备中毒、路由总出入口被拦截了，这样子就可以冒用别人的token了

流年！ 2020-10-14

打赏
举报

引用 5 楼 qq_30736369 的回复:

你可以加一些签名或者把盐值调浓点

被盗用和签名盐值有什么关系？

java大狗 2020-09-27

打赏
举报

引用 15 楼 dogMasterGo 的回复:

引用 7 楼紫剑_水的回复:
token被盗了怕什么，token自身加密了，你自己也可以在token基础上拼接字符串，别人拿什么破
我也是这样处理的,但还是怕抓包,放在请求头里也怕被抓吗

打个比方有个人不注意，把别人的token拿过来，权限就大了，确实会有这类问题，就算加密了也没用。

dogMasterGo 2020-09-09

打赏
举报

引用 11 楼一只闪闪发光的小叔叔的回复:

[quote=引用 10 楼 isFuong 的回复:] [quote=引用 8 楼 xuxiake的博客的回复:] 你可以做成单回话登录，就是说一个账号在一种类型的客户端只能登录一个地方，这样当token被盗了，你很快就能知道了，或者是你在token中增加ip验证，这样token脱离ip也是无法验证通过的，方法还是挺多的

如果在同一台电脑登陆，同一台电脑抓包恶意请求呢[/quote] 兄弟，在同一台电脑上登录再抓包，那这个人是不是闲的，玩呐[/quote]抱歉,安全测试可不管...就是这样闲着

dogMasterGo 2020-09-09

打赏
举报

引用 7 楼紫剑_水的回复:

token被盗了怕什么，token自身加密了，你自己也可以在token基础上拼接字符串，别人拿什么破

我也是这样处理的,但还是怕抓包,放在请求头里也怕被抓吗

靈龍靈 2020-08-24

打赏
举报

引用 12 楼 qq_41656289 的回复:

[quote=引用 11 楼一只闪闪发光的小叔叔的回复:][quote=引用 10 楼 isFuong 的回复:] [quote=引用 8 楼 xuxiake的博客的回复:] 你可以做成单回话登录，就是说一个账号在一种类型的客户端只能登录一个地方，这样当token被盗了，你很快就能知道了，或者是你在token中增加ip验证，这样token脱离ip也是无法验证通过的，方法还是挺多的

如果在同一台电脑登陆，同一台电脑抓包恶意请求呢[/quote] 兄弟，在同一台电脑上登录再抓包，那这个人是不是闲的，玩呐[/quote] 木马啊兄die[/quote] 所以有些网站会提示不要再公共场所进行登录，还有不要乱下载一些东西，基本能避免

靈龍靈 2020-08-24

打赏
举报

请不要在公共场所的电脑登录

百花街小王子 2020-07-08

打赏
举报

引用 11 楼一只闪闪发光的小叔叔的回复:

[quote=引用 10 楼 isFuong 的回复:] [quote=引用 8 楼 xuxiake的博客的回复:] 你可以做成单回话登录，就是说一个账号在一种类型的客户端只能登录一个地方，这样当token被盗了，你很快就能知道了，或者是你在token中增加ip验证，这样token脱离ip也是无法验证通过的，方法还是挺多的

如果在同一台电脑登陆，同一台电脑抓包恶意请求呢[/quote] 兄弟，在同一台电脑上登录再抓包，那这个人是不是闲的，玩呐[/quote] 木马啊兄die