提升JWT安全性：如何设计有效的加盐密钥？

Question

背景

jwt使用HS256加密方式

之前是采用uid+username+网站上线运行那一刻的毫秒数，但是因为在业务实现上有一定限制（无法保证每个业务（controller层）都获取的到user对象），故该方案已弃用

目前后端加盐为系统上线运行那一刻的毫秒数

但是感觉安全性比较低

问题

想问一下，在实际的开发场景下，大都如何设计加盐密钥？

Answer 1

正常业务, jwt 本来就不推荐存储敏感的资源,一般都是存个 UserId , 然后在使用 userId 来进行用户信息的获取,而且, 如果 jwt 存储一些数据信息, 如果数据存在更新,已生成的 jwt 也无法更新于收回, 总得来说,不管 jwt 如何提高安全性, 也不推荐往 jwt 中 进行信息的传输