JWT令牌token泄露恶意使用
背景
为了防止黑客恶意拦截获得token信息，在JWT上可以添加客户端属性、地理网络信息等。
解密：使用互联网大厂的产品时经常遇到这个情况
- 比如阿里云或者淘宝，你现在登录了然后换个网络或者地域就需要重新登录
- 就是对应的token令牌，不只简单的算法加密，还包括了客户端属性、地理网络位置信息等，一起组成一个token令牌
业务逻辑
如何避免token令牌泄露被恶意使用
- ip绑定方式
生成token的时候，加密的payload加入当前用户ip。
拦截器解密后，获取payload的ip和当前访问ip判断是否同个，如果不是则提示重新登录
优点：服务端无需存储相关内容，性能高，假如用户广州登录，泄露了token给杭州的黑客，依旧用不了
缺点：如果用户用使用过程中ip变动频繁，则操作会经常提示重新登录，体验不友好
当然也可以让用户开启安全模式和非安全模式，让用户自己知道这个情况，一些区块链、比特币交易所里面就会让用户自己选择控制这个token令牌安全是否和ip、终端、地理网络信息进行绑定
- 客户端属性绑定
- 地理网络位置信息绑定
标签：令牌,登录,ip,绑定,JWT,用户,token 来源： https://www.cnblogs.com/zhoujianyi/p/15192025.html
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。