网站请求中JWT令牌的安全疑问：无存储实践与授权头风险

1. 不存储令牌是否属于最佳实践？ #

得结合你的业务场景判断：

• 如果是单次请求场景（比如用户登录后只发一次请求就完成核心操作，后续无需调用API），这种不存储令牌的方式完全可行，还能避免令牌存储带来的XSS窃取风险。
• 但如果是多请求场景（用户登录后要多次调用后端API，比如浏览内容、提交多条数据），这种体验就很差——用户每发一次请求都得重新获取令牌，要么重复登录，要么每次请求前都走一遍令牌获取流程，既折腾用户，又增加后端认证压力。

通常SPA的最佳实践是把令牌存在HttpOnly、Secure的Cookie里（能防XSS窃取，且自动随请求发送），或者存在内存中（比如React状态里，页面刷新后需重新登录，安全性也不错），这样既能复用令牌，又能兼顾安全。

2. 授权头可通过开发者工具查看，这存在多大的安全风险？ #

先理清几个关键事实：

• JWT是Base64编码（不是加密），payload部分能被直接解析，所以绝对不能把敏感信息（比如密码、隐私数据）放进JWT的payload里，否则任何人拿到令牌都能看到这些内容。
• 授权头能被开发者工具看到，本质是用户主动查看的——作为令牌的合法持有者，用户有权知晓自己的请求携带了什么信息，这属于正常情况，不算漏洞。
• 真正的风险来自外部窃取：比如攻击者通过XSS攻击注入脚本截取请求头拿到令牌，或者物理控制用户设备直接查看。但不管你存不存储令牌，只要请求发出去，XSS脚本都能截获请求头里的令牌——这时候重点该做的是XSS防护（比如转义用户输入、使用CSP），而非纠结授权头能不能被看到。
• 只要用HTTPS协议，请求头在网络传输过程中是加密的，不会被中间人截获，这能大幅降低传输环节的风险。

总结：开发者工具能看到授权头的风险可控，核心要做的是：JWT payload不存敏感信息、设置较短的令牌过期时间、用HTTPS、做好XSS防护。

内容的提问来源于stack exchange，提问作者CjL95