python - 在使用了 oauth2.0 的 web 项目当中如何使用 JWT

Question

我现在要做的项目Django是前后分离的，后端用的 Django。要使用QQ第三方登录。目前用的 python-social-oauth 做的 oauth2.0 登录。
现在的问题是，打算用 JWT + RESTFul 和服务器端做数据对接。问题是 如何将 JWT 的 token 发到前端呢？我打算是放到 cookie 里面。但是不知道这种方式有没有安全问题。

Answer 1

把token放到cookie就不叫JWT了。需要使用下面的 HTTP Header傳遞給服務端

Authorization: Bearer <token>

Answer 2

一般都是在使用者登入成功或註冊成功時將token送到前端，前端可以考慮用cookie存，但別忘了使用http-only，也可以用localStorage、sessionStorage等機制來存儲，具體看你業務需求。另外，因為jwt是依照一定規律產生的base64串，所以個人建議是後端先使用AES或DES或其它對稱加密方式對token加密後再發放給前端，前端在發請求之前帶上加密後的token，這樣能在某種程度上增加破解token的難度。