使用JWT做令牌用户信息要保存到token里吗？

[贺志营]

之前用的是cookie和session来做的登录注册，现在前后端分离了，浏览器不支持第三方cookie了，于是用了JWT，而后端也不愿用session了，那么用户信息要保存到token的payload里吗？

[tianfang]

又研究了一下jwt，我认为不适合你的跨域用户管理场景 http://codegrids.com/articles/2018/12/25/jwt-ap-exc/

[贺志营]

如果是不保存用户信息的话，那我后端需要获取到用户信息应该怎么做呢，查询数据库？ 如果保存用户信息的话，打算就保存用户id，name，不会保存password或其他敏感信息

[贺志营]

引用 2 楼 tianfang 的回复:

又研究了一下jwt，我认为不适合你的跨域用户管理场景 http://codegrids.com/articles/2018/12/25/jwt-ap-exc/

那敢问大佬，有没有什么好的建议做用户管理

[贺志营]

引用 1 楼 tianfang 的回复:

不建议这么做， 首先，用户信息写入token，token信息不保密，则token一旦被产生泄露，会产生安全风险。虽然可以加密，但是由于客户端是js，对黑客是可见的 还有，就是要评估你写入的用户信息是什么？暴漏给黑客会产生哪些风险

如果是不保存用户信息的话，那我后端需要获取到用户信息应该怎么做呢，查询数据库？ 如果保存用户信息的话，打算就保存用户id，name，不会保存password或其他敏感信息

[摸鱼小能手tay]

引用 1 楼 tianfang的回复:

不建议这么做， 首先，用户信息写入token，token信息不保密，则token一旦被产生泄露，会产生安全风险。虽然可以加密，但是由于客户端是js，对黑客是可见的 还有，就是要评估你写入的用户信息是什么？暴漏给黑客会产生哪些风险

所以你对token进行加密啊

[tianfang]

引用 4 楼 贺志营 的回复:

[quote=引用 2 楼 tianfang 的回复:]又研究了一下jwt，我认为不适合你的跨域用户管理场景 http://codegrids.com/articles/2018/12/25/jwt-ap-exc/

那敢问大佬，有没有什么好的建议做用户管理[/quote] 跨域资源共享（CORS）

[tianfang]

不建议这么做， 首先，用户信息写入token，token信息不保密，则token一旦被产生泄露，会产生安全风险。虽然可以加密，但是由于客户端是js，对黑客是可见的 还有，就是要评估你写入的用户信息是什么？暴漏给黑客会产生哪些风险

[qybao]

可以存用户信息 比如aws的cognito，如果用alb做自动验证，token不光有用户信息，还有group信息。当然，敏感信息是不保存到token的。

[lolitaline]

无状态的认证服务JWT是不错的选择，可以结合Redis，shiro或者spring security来使用。github上面很多现成的示例。