在使用了 oauth2.0 的 web 项目当中如何使用 JWT

Question

我现在要做的项目Django是前后分离的，后端用的 Django。要使用QQ第三方登录。目前用的 python-social-oauth 做的 oauth2.0 登录。
现在的问题是，打算用 JWT + RESTFul 和服务器端做数据对接。问题是 如何将 JWT 的 token 发到前端呢？我打算是放到 cookie 里面。但是不知道这种方式有没有安全问题。

Answer 1

把token放到cookie就不叫JWT了。需要使用下面的 HTTP Header传递给服务端

Authorization: Bearer <token>

Answer 2

一般使用token的思路是在用户通过校验后后端将token发送前端，前端将token存储到客户端，可以考虑使用cookie、localStorage等机制来存储，具体看业务需求。另外，JWT是一串按照既定规则生成的base64串，个人建议是后端可使用AES或DES或其它对称加密方式对token加密，前端在发请求之前带上加密后的token，这样能在一定程度上增大破解token的难度。