关于 token 被盗取的问题

[gaorenhua]

前后端分离开发的时候，服务端 api 一般都喜欢用 jwt，大家都一直在提 token 被盗取了怎么办？ token 是如何被盗取的呢？可能就是人为的泄露账号密码？可能是被钓鱼，电脑被挂马？ 网上好多人说用 fidder 抓取之后可以看到 token，我想知道是咋看到的，是你在用户端安装了 fidder 用控制了人家的电脑吗？ 还有木有别的泄露的可能？ 求教。

[unco020511]

https 基本都 ok 了,然后定期刷新 token

[liaoliaojun]

设置 http only，客户端无法获取到 cookie，就不能从 web 端盗取了

[vzyw]

jwt 可以注销的 后端把 jwt 整个字符串存 redis 里 先判断 redis 里也没有这个 jwt string 再验证 jwt 。注销就是删除这个 jwt
@wunonglin

[nong99]

@redtea 这个方法貌似简单暴力哦～
有两点请教：
1 如何在服务端有效的存储这个随机 token 和检验下次请求呢
2 但是本身也会暴露了传回的这个 csrf token 呢？

[redtea]

@nong99 这个方案主要是用在 post 上，防止盗 token 的人提交请求。存 redis 就行了。要防暴露的话就用 https 。暴露了也没关系，用一次就没用了。