# JWT在使用過程中的注意事項 ## `JWT`的幾個特點 （1）`JWT` 默認是不加密，但也是可以加密的。生成原始 Token 以后，可以用密鑰再加密一次。 （2）`JWT` 不加密的情況下，不能將秘密數據寫入`JWT`。 （3）`JWT` 不僅可以用于認證，也可以用于交換信息。有效使用 `JWT`，可以降低服務器查詢數據庫的次數。 （4）`JWT` 的最大缺點是，由于服務器不保存 session 狀態，因此無法在使用過程中廢止某個 token，或者更改 token 的權限。也就是說，一旦 `JWT` 簽發了，在到期之前就會始終有效，除非服務器部署額外的邏輯。 （5）`JWT` 本身包含了認證信息，一旦泄露，任何人都可以獲得該令牌的所有權限。為了減少盜用，`JWT` 的有效期應該設置得比較短。對于一些比較重要的權限，使用時應該再次對用戶進行認證。 （6）為了減少盜用，`JWT` 不應該使用 HTTP 協議明碼傳輸，要使用 `HTTPS` 協議傳輸。 > `JWT Token` 一旦簽發，就會在有效期內一直可用，無法在服務端廢止，當用戶進行登出操作，只能依賴客戶端刪除掉本地存儲的 `JWT Token`，如果需 要禁用用戶，單純使用 `JWT` 就無法做到了。 ## 安全性相關 如果加強 `JWT` 的安全性？ 總結以下幾點： 一定要保存好服務端的`secret`,防止泄露給客戶端。 縮短 `token 有效時間 使用安全系數高的加密算法` `token` 不要放在 `Cookie` 中，有 `CSRF`風險 使用 `HTTPS` 加密協議 對標準字段`iss`、`sub`、`aud`、`nbf`、`exp` 進行校驗