Json Web令牌可以僞造或模擬嗎？

Question

我已經在我的react-native項目中啓動並運行了JWT身份驗證。現在我發出的每個請求都會被標記爲authorization。

據我瞭解，當服務器收到我的令牌，它會被解碼成類似：

{ sub: user.id, iat: timestamp, email: user.email } 

那麼服務器將基於該user.id認出我來。

但是由於標題中只包含標記，標題中沒有userId，服務器如何知道我真的是那個標識的人？說一個黑客得到了我的代幣，那麼他能僞造我並與服務器交談嗎？

Answer 1

防止此類令牌在途中被盜的通常方法是通過傳輸級別安全性，特別是SSL。在兩個系統之間交換令牌之前，首先建立HTTPS連接，。

還可能有其他解決方案可用於防止令牌盜用，例如Token Binding Protocol和Proof Key for Code Exchange by OAuth Public Clients。

爲了提供額外的安全性，令牌通常是有時間限制的。可以根據需要撤銷Reference Tokens，無需等待它們超時。