我应该在客户端解码 JWT 吗？

Question

我正在构建一个 android 应用程序并计划使用 Json Web Tokens (JWT) 进行身份验证。

一旦我的服务器使用生成的令牌返回响应，在客户端解码令牌以读取用户信息（又名有效负载）是否有意义，或者我应该严格使用令牌作为身份验证机制并发出第二个请求以获取用户的信息？

谢谢

Answer 1

和大多数事情一样，这取决于情况。如果您控制授权服务器（即您正在调用的 API），那么在客户端读取令牌的内容我并没有真正看到任何问题。

如果您调用第 3 方 API 并针对您无法控制的服务器进行身份验证，我不会依赖 JWT 令牌的内容。第三方可能决定更改令牌中的声明，甚至开始加密令牌。