网络与安全 · 单选题 · 第 35 题
前端与全栈开发面试 · 第 35 题
关于 JWT,下列说法正确的是?
- A载荷部分经过了加密,任何人拿到令牌都无法读出其中的内容
- B签名的作用是防止别人读取令牌里的内容,而不是防止被篡改
- C服务端随时可以让单个 JWT 立即失效,不需要任何额外的机制
- D载荷只做了 Base64URL 编码,没有加密,不应存放敏感信息
答案
D D. 载荷只做了 Base64URL 编码,没有加密,不应存放敏感信息
解析
JWT 由头部、载荷、签名三段组成,前两段任何人都能解码查看,签名只保证内容没被篡改。JWT 是无状态的,签发后在过期之前一直有效,要提前作废需要黑名单或令牌版本号等额外机制,所以访问令牌通常设置较短的有效期,再配合刷新令牌。需要保密的内容要用 JWE 加密。