极客观点
项目管理
HarmonyOS
如果jwt的token存在localStorage，又通过xss攻击被获取了怎么办，这样是不是就可以进行跨站伪造请求来向服务器发送非法请求了？还是说可以在token外边再加一个ase请求，刚接触jwt不太了解
java
html5撰写回答
你尚未登录，登录后可以
- 和开发者交流问题的细节
- 关注并接收问题和回答的更新提醒
- 参与内容的编辑和改进，让解决方法与时俱进
推荐问题
js 如何将Key属性相同的放在同一个数组？
{代码...} 说明：id和name是动态的，有可能后台返回的是age和school,不是固定id和name想要的结果是; {代码...}10 回答11.1k 阅读
小网站有必要将图片放到阿里云OSS存储吗？
网站有涉及到图片的请求，买了阿里云服务，我想将图片放在云服务上的某个目录下，然后通过nginx代理请求图片资源，不知道这么做是否可行？还是说需要将图片放在OSS上存储，但是OSS需要收费？哪个方案更好一些？15 回答8.4k 阅读
为什么在谷歌浏览器中 'a' == ['a'] 返回 true？
'a' == ['a'] 谷歌浏览器返回了true 是为什么16 回答3k 阅读
vue项目如何在初始化之前跳转外部页面？
vue项目内有一个分享功能，但是这个分享出去的页面打开会非常慢，所以就想到了单独写了一套H5页面专门用于手机端打开，然后在这个vue项目的分享页面初始化函数里面加一个判断终端是否为移动端，如果是就再做一次跳转，到这个单独的H5页面上去，这样就不会去加载vue框架，打开速度会更快。以上是初始方案和预期。5 回答4.8k 阅读✓ 已解决
js如何控制移动端overflow:scroll容器滑动的最大速度？
{代码...} demo在这：[链接]在移动端滑动一下这个.box区域,稍微一用力就到头了，如果我想用js去控制他滑动的最大速度该怎么去处理？4 回答3.1k 阅读✓ 已解决
Spring中的两个疑惑?
使用注解的写法是否违背了Spring诞生的初衷？看了很多Spring教程，在讲述为什么要使用Spring的时候，都提出了一个很重要的原因就是，以前的8 回答6.2k 阅读
前端代码更新如何通知用户刷新页面？
前端代码更新如何通知用户刷新页面？2 回答2.7k 阅读✓ 已解决
jwt 生成的
token本身并不加密的,它的作用是保证数据的可信,防止数据被篡改.而token本身的安全,需要别的技术来保证.比如像你担心的跨站点攻击,可以用
cookie存储token来预防.但是用cookie又会有别的危险,比如跨站点请求伪造CSRF,所以还需要别的安全措施来防止CSRF,但是如果有 api 需要CSRF,那又会造成别的麻烦.可以通过增加加密和更多的验证条件,来确保.
这些需要你多了解这些安全手段,然后根据需求和成本来决定要用哪些.
TOKEN加在HEADER里，使用HTTPS通信，有安全隐患吗？
存储JWT的位置 - Cookies与HTML5 Web存储