React-Native中JWT设置过期时间后能否存储在AsyncStorage中？

你的认知完全错误，贴出的App端JWT实现逻辑存在多处明确安全缺陷，仅靠服务端设置JWT过期时间，既防不住你设想的物理设备窃取场景，也挡不住更常见的远程令牌窃取。

你当前实现的代码逻辑如下：

async function getUserDetails() {
    const token = await AsyncStorage.getItem('token') //got this token from successful login
    const data = await axios.get(apiurl+'&JWT='+token)
    console.log(data)
}

• 令牌传输逻辑不合规：你把JWT直接拼接在URL参数中传递，所有网络代理日志、服务端访问日志、运营商流量记录、甚至公共WiFi的抓包结果里都会留存明文JWT，攻击者根本不需要接触用户手机，在流量链路里就能截获有效令牌。
• 本地存储无安全加固：你直接将JWT明文存储在AsyncStorage中，这类通用存储区的读取门槛极低：Android端恶意App只要申请到存储权限、利用公开的沙盒逃逸漏洞就能直接读取，iOS端利用备份文件提取、系统漏洞读取也不需要完成完整越狱，攻击成本远低于你设想的“物理获取+全设备越狱+连电脑”的程度。
• 缺失令牌绑定校验：当前逻辑默认只要携带有效JWT就是合法请求，没有做令牌和设备特征、用户会话的绑定校验，一旦JWT泄露，攻击者在任意设备上都能直接冒用账号权限。

• 攻击耗时远短于常规JWT有效期：你默认攻击者完成全流程破解时JWT已经过期，但实际目前的民用手机取证工具，不需要完全破解设备锁屏、不需要完整越狱，几分钟就能提取出应用沙盒内的明文存储数据，只要用户丢失手机时JWT还在有效期内，攻击者完全有时间提取并冒用令牌，常规设置的几小时甚至几天的JWT有效期根本撑不到你假设的“破解完成时已过期”的情况。
• 短有效期本身不具备防泄露能力：如果你配套使用的刷新令牌没有做严格的设备绑定和轮换逻辑，攻击者拿到即将过期的JWT后，可以直接调用刷新接口换取新的长效访问令牌，相当于永久持有账号权限，你设置的访问令牌过期时间完全形同虚设。
• 越狱环境下校验可被直接绕过：就算攻击者真的花时间完成了设备越狱，他可以直接Hook App的网络请求逻辑、篡改系统时间返回值、甚至伪造服务端响应，不需要依赖有效JWT就能拿到你App内的用户数据；如果你服务端的JWT校验逻辑有缺陷，攻击者甚至可以直接篡改JWT的过期字段绕过校验。

• 立刻修正令牌传递方式：不要把JWT放在URL参数中，统一放在HTTP请求头的Authorization字段中，格式为Bearer <JWT内容>，避免令牌在链路日志中泄露。
• 替换本地存储方案：不要用AsyncStorage这类明文通用存储区存认证令牌，iOS端将令牌存入系统Keychain，Android端存入Keystore，这类系统级安全存储的提取难度远高于普通应用沙盒文件。
• 完善服务端校验逻辑：除了JWT的签名、过期时间校验外，要给每个发放的JWT绑定对应设备的唯一特征，异常设备发起请求时直接触发令牌失效、二次身份校验；同时搭建令牌黑名单机制，用户主动登出、账号报失时立刻将对应令牌作废，不要等JWT自然过期。
• 合理设置令牌有效期：面向普通用户的业务，访问令牌（即你现在用的JWT）有效期设置为15-30分钟即可，配套的刷新令牌要做一次性轮换、强设备绑定，就算刷新令牌泄露，攻击者也无法长期冒用账号权限。

内容的提问来源于stack exchange，提问作者Rollor