JWT认证的设计？

Question

我使用的是https://github.com/davesque/django-rest-framework-simplejwt上的DjangoRest Framework simple-jwt包。

这提供了两个api端点来获取访问令牌和刷新令牌。目前，我将访问令牌存储在浏览器的localStorage中。这是存储它的最佳位置，还是sessionStorage更好？

当由于当前访问令牌过期而需要新的访问令牌时，我是否应该在POST请求中传递刷新令牌(存储在localStorage中)？这是最好的实现吗？将这个关键的刷新标记字符串存储在浏览器中似乎是不安全的。

Answer 1

这是可行的，是的，您将传递刷新令牌。由于您正在将其用于web应用程序，因此我建议您让您的访问令牌和刷新令牌很快过期，这样它就会始终生成一个新的令牌。