通过URL传递JWT是否未被存储？如何判断其存储方式？

1. URL携带JWT不代表未被存储 #

通过https://www.website.com?access_token=<JWT>这种URL参数传递JWT，只是当前请求的传输方式，和JWT是否被存储是两个独立的概念：

• 可能只是临时用URL传一次，没有任何存储；
• 也可能客户端/服务端已经把JWT存在了某个地方，这次请求只是额外用URL携带了它。

2. 如何判断JWT的存储方式 #

客户端存储的判断方法

• Cookie存储：打开浏览器开发者工具（F12），切换到「Application」（部分浏览器叫「存储」）标签，找到「Cookies」下的目标域名，检查是否有包含JWT的字段（比如access_token、jwt）。
• LocalStorage/SessionStorage存储：同样在开发者工具的「Application」标签里，查看「Local Storage」或「Session Storage」下的目标域名，检查键值对中是否有存储的JWT。
• 内存存储：这种存储不会持久化，页面刷新或关闭后就会丢失。可以通过刷新页面后是否还能正常访问（无需重新携带URL参数）来验证；如果有权限查看前端代码，可检查是否将JWT存在全局变量、状态管理工具（如Vuex、Redux）中。

服务端存储的判断方法

• 查看响应头：在开发者工具的「Network」标签里，查看服务端返回的响应头，如果有Set-Cookie字段，说明服务端要求客户端将JWT存在Cookie中；如果返回了refresh_token，通常意味着服务端会将token信息存在缓存（如Redis）或数据库中。
• 测试有效性：删除URL中的access_token参数，刷新页面后若仍能正常访问，说明JWT已被存储；重启浏览器后还能访问，大概率是Cookie/LocalStorage存储，或服务端有持久化存储。
• 查看服务端代码（若有权限）：直接定位到token处理的逻辑，检查是否有将JWT写入数据库、缓存的代码片段。

内容的提问来源于stack exchange，提问作者confused