最近打算做個(gè)商城項(xiàng)目（個(gè)人學(xué)習(xí)練手），想采用前后端分離的方式來實(shí)現(xiàn)，但是api認(rèn)證這塊經(jīng)驗(yàn)不足。網(wǎng)上看過jwt有關(guān)的帖子，但是一直不明白。
1.jwt相比隨機(jī)生成一個(gè)字符串(也是有時(shí)限的)有什么優(yōu)勢？第一部分header內(nèi)容居然包含了加密的算法，這不是更加不安全么？
2.jwt應(yīng)該是登陸后生成的一個(gè)token, 但是在不登錄的情況下，部分接口也是可以請求的啊，比如商品展示之類。那基礎(chǔ)的api認(rèn)證應(yīng)該怎么做呢？
5 回答
忽然笑
TA貢獻(xiàn)1806條經(jīng)驗(yàn) 獲得超5個(gè)贊
- 加密私鑰放你服務(wù)器側(cè)，如果沒有泄漏有什么不安全
- 這個(gè)也可以用中間件來處理需要身份信息的api
函數(shù)式編程
TA貢獻(xiàn)1807條經(jīng)驗(yàn) 獲得超9個(gè)贊
1.jwt加密規(guī)則更復(fù)雜，你隨機(jī)生成字符串直接傳入客戶端，不是直接被獲取到了？jwt的header沒有加密，只是進(jìn)行了base64，不會存入敏感信息，本就是透明的
2.需要驗(yàn)證身份信息的API就引入驗(yàn)證信息中間件 或 繼承基類嘛
添加回答
舉報(bào)
0/150
提交
取消