java - jwt token安全性问题.

Question

Ａ,Ｂ系统是前后端分离的。
(两个系统跨域)
现在Ａ系统一个页面跳转到Ｂ系统中。
现在是用的跳转到Ｂ系统，地址栏中带了一个加密token (包含用户id).帮其自动登陆上了。
此页面显示的商品信息和该用户的折扣。

此时假如我知道了别人的token，然后修改地址栏。页面就变成别人的信息了。

此时我都不知道别人的账号密码，然后就获得了别人的一些用户信息.

Answer 1

https加密吧，Http协议本身就不安全，明文的。
这几位说的对，我说错了

Answer 2

1. 最简单的办法，也是比较安全的办法。在b站帮其登录的时候，再弹次框。让其确认密码！

2. 有个叫csrf的令牌或者。随机数的办法。值得你拥有。csrf令牌就是限制这样的跨域攻击的

3. JWT的验证token是要放到header里的，你可以考虑授权认证

Answer 3

首先token的出现就是为了解决用户验证的问题 既然是两个系统了就应该避免自动登录的这种情况 这是很不安全的。
不过你既然有这样的需求 那只有尽量侧面规避了，给个方案：token中尽量避免敏感信息 ，其次就是在授权跨系统的token时 把这个token的授权设为一次性的 并且压缩token的有效时间 如此token只办30分钟内有效
其实你可以参考现在的很多第三方登录 如微博等 授权的token都只包含昵称，头像等少量信息

Answer 4

题主这是真实场景的情况吗？

如果你能得到别人的 token，相当于窃听了他的密码，这不是 JWT 的安全问题。

与 JWT 本身有关的措施，就是加入过期时间，强制 JWT 在一定时间后失效。

根据 JWT 规范，JWT 最好是放在请求头部 Authorization 中，不要放在 URL 里。

HTTPS 是有用的。