关于jwt生成的token和session的安全性问题

发布于
2018-05-16

现在我所做的项目是前后端分离的，主要是api接口的开发，登陆逻辑是这样的，
首先用户使用账号密码登陆，如果正确的话会自动生成一个token，并将token存放在redis中，同时将token返回给前端，之后前端每次调用api接口的时候都会在http的head中增加一个"X-TOKEN"的头，里面存放的就是token值，之后就会将该token和redis中的比较，看是否能成功。
问题在于，如果有人拦截获取了这个token值，比如说用户连接了他家的wifi，然后设计一个ajax按照那个逻辑存放token值然后访问api接口，不就可以直接获取数据了吗，这样做的安全性在哪？？？

java restful token session jwt

阅读 4.3k

3 个回答

发布于
2018-05-16

✓ 已被采纳

你用session也一样可以用相同的方法攻击
要解决这个问题得靠https

热饭班长

发布于
2018-05-22

token不是为了解决安全问题的 token不是为了解决安全问题的 token不是为了解决安全问题的

发布于
2018-12-01

token 是为了解决跨越问题的。而你说的问题中间人攻击，设计传输层安全了，这不是应用层能解决的，正如上面朋友所说的，如果你有一颗不安的心，那你最好用https了

撰写回答

你尚未登录，登录后可以

和开发者交流问题的细节
关注并接收问题和回答的更新提醒
参与内容的编辑和改进，让解决方法与时俱进

推荐问题

相似问题

找不到问题？创建新问题