关于Cookie中JWT令牌编辑及HttpOnly属性的技术问询

1. 客户端能否编辑JWT令牌内容，以及篡改后的验证可靠性 #

• 客户端可以轻易修改JWT的Payload内容：JWT的Header和Payload部分只是Base64编码（不是加密），任何人都能解码查看，也能修改后重新编码。比如你存的用户名，用户完全可以改成别的字符串。
• JWT能验证篡改行为：JWT的第三部分是Signature，由服务端用密钥对Header和Payload的编码内容进行哈希计算生成。客户端篡改内容后，无法生成和原签名匹配的新签名（除非拿到服务端的密钥）。服务端收到JWT时，会重新计算签名并和JWT里的签名比对，不一致就判定内容被篡改，拒绝该令牌。
• 只要服务端密钥不泄露，验证是绝对可靠的：签名算法（如HS256）是基于密钥的对称加密，没有密钥的话，攻击者无法生成正确的签名来通过验证。

2. Cookie的HttpOnly属性作用 #

• HttpOnly属性仅限制JavaScript通过document.cookie访问该Cookie，完全不阻止客户端编辑Cookie。
• 客户端依然可以通过浏览器开发者工具（比如Chrome的Application面板）、代理工具等方式直接修改HttpOnly Cookie的内容。
• 这个属性的核心作用是防范XSS攻击：当页面存在XSS漏洞时，恶意脚本无法读取HttpOnly Cookie，避免Cookie被窃取，但无法阻止用户主动篡改自己的Cookie。

内容的提问来源于stack exchange，提问作者user19686218