NextJS中JWT存入Cookie并设置30天过期是否安全？

你的NextJS代码配置已经覆盖了核心安全防护，在常规业务场景下是相对安全的，但需要结合风险点和补充措施来完善，具体分析如下：

现有配置的安全优势 #

• httpOnly: true：禁止前端JS读取Cookie，直接规避了绝大多数XSS攻击窃取JWT的风险
• sameSite: 'strict'：严格限制Cookie仅在同站请求中发送，几乎杜绝了CSRF攻击的可能
• secure: true：Cookie仅通过HTTPS传输，避免了HTTP环境下的明文泄露
• path: '/'：确保Cookie在全站范围内有效，符合登录态的全局需求

30天有效期的潜在风险 #

• 令牌有效期越长，一旦Cookie被恶意获取（比如用户设备丢失、被恶意软件捕获），攻击者可利用的时间窗口就越大
• 如果JWT的Payload中包含敏感信息（虽然不建议这么做），泄露后的影响会持续更久

优化建议（提升安全性） #

• 引入刷新令牌机制：把短有效期（比如15分钟）的Access Token存入当前Cookie，同时生成一个30天有效期的Refresh Token存入另一个HttpOnly Cookie（可额外绑定设备指纹）。当Access Token过期时，用Refresh Token向后端申请新的Access Token。这样即使Access Token泄露，危害范围和时长也会被限制
• 后端增强令牌校验：除了签名校验，还要检查JWT的issuer、audience字段，同时维护令牌黑名单，支持主动登出或令牌失效操作
• 设备绑定校验：生成JWT时加入用户UA、IP哈希（避免存真实IP）等设备标识，后端校验时比对这些信息，增加令牌被窃取后的使用难度
• 确保生产环境HTTPS：你的代码中设置了secure: true，但要注意NextJS开发环境下如果用HTTP，该属性会失效，部署到生产环境必须确保是HTTPS环境
• JWT Payload避免敏感数据：JWT是Base64编码而非加密，任何人都能解码查看内容，不要在Payload中存放密码、手机号等敏感信息

内容的提问来源于stack exchange，提问作者Sylv99