WebTransport客户端身份验证咨询：HttpOnly Cookie场景下的方案

1. WebTransport服务器验证用户身份的安全推荐方案 #

由于WebTransport不支持自动携带Cookie，推荐以下几种安全可行的方案：

• 使用短期专用令牌：用户登录后，从HTTP接口获取一个短期、单次有效的身份令牌（区别于长期JWT），将其作为参数附加在WebTransport的连接URL中。服务器收到连接请求后，先验证该令牌的有效性（校验签名、过期时间、绑定用户身份），验证通过后再建立连接。令牌有效期建议设为几分钟，即使泄露也不会造成长期风险。
• 握手后发送身份凭证：建立WebTransport连接后，客户端立即通过自定义二进制帧发送身份凭证（比如JWT或短期令牌），服务器验证通过后再处理后续的实时数据推送请求。由于WebTransport基于HTTP/3，传输全程由TLS加密，不用担心凭证在传输过程中被窃听。
• TLS客户端证书验证：如果是企业内部等封闭场景，可以配置客户端在建立TLS连接时提供客户端证书，服务器通过校验证书来确认用户身份。该方案安全性高，但部署和用户体验成本较高，不适合公开Web应用。

2. 是否可以将JWT存储在localStorage中并传输？ #

可以，但存在显著安全风险，不推荐作为首选方案：

• localStorage中的数据可被页面内的JavaScript直接读取，一旦页面遭遇XSS攻击，恶意脚本可以轻松窃取JWT，进而冒充用户身份。这也是最初选择HttpOnly Cookie存储JWT的核心原因——HttpOnly Cookie无法被JS读取，能抵御XSS攻击。
• 如果必须使用该方式，需满足以下条件降低风险：确保页面无XSS漏洞；设置JWT的过期时间极短（比如15分钟以内）；全程使用HTTPS（WebTransport本身已满足）；避免在JWT中存储敏感信息。

内容的提问来源于stack exchange，提问作者Niklas