django - JWT认证的设计？

Question

我正在使用 https://github.com/davesque/django-rest-framework-simplejwt 上的 DjangoRest Framework simple-jwt包。

这提供了两个 api 端点来获取访问令牌和刷新令牌。目前我将访问令牌存储在浏览器的 localStorage 中。这是存储它的最佳位置，还是 sessionStorage 更好？

当我因为当前访问令牌过期而需要新的访问令牌时，是否应该在 POST 请求中传递刷新令牌（存储在 localStorage 中）？这是最好的实现吗？将这个关键的刷新令牌字符串存储在浏览器中似乎不安全。

Answer 1

那行得通，是的，您将传递刷新令牌。由于您将它用于网络应用程序，我建议您让访问令牌和刷新令牌很快过期，这样它总是会生成一个新令牌。