我正在尝试使用JWT为我的RESTful API实现无状态身份验证.
AFAIK,JWT基本上是在REST调用期间作为HTTP头传递的加密字符串.
但是,如果有一个窃听者看到了请求并窃取了令牌呢？那么他能用我的身份伪造请求吗？
实际上,这种关注适用于所有基于令牌的身份验证.
怎么预防？像HTTPS这样的安全渠道？
authentication access-token jwt
access-token ×1
authentication ×1
jwt ×1