JWT与防伪令牌

Question

我一直在研究JWT和防伪令牌，我从微软的这文章中发现，在JWT中，防伪验证是不必要的。

这是对的还是我理解错了？

我正在用webapi开发一个应用程序，用JWT开发ar角6。

Answer 1

防伪令牌保护免受基于cookie的CSRF攻击。

只要您的JWT是手动连接到所选请求的(与浏览器中每个请求附加的cookies不同)，CSRF就不可能了。

因此，答案是:对于没有在cookie中发送的令牌是正确的。