如果我不存储密钥，加密我的 JWT 身份验证令牌客户端是否安全？

Question

我计划加密我的JWT访问令牌并将其存储在AsyncStorage(React Native(中。我将使用 PIN 码来加密令牌，并在每次应用程序启动时请求 PIN 码。我将使用 PIN 码解密访问令牌，并将其存储在我的状态中供以后使用。

这是一种安全的方法吗？

Answer 1

首先，JWT 不加密数据(即令牌的标头和有效负载部分(。它仅使用 Base64Url 进行编码，无需任何密钥即可解码。

JWT 用于网络请求，其中签名部分经过签名/加密，以确保标头和有效负载数据在途中不会纵。

因此，如果您想安全地存储访问令牌，JWT 无法帮助您。您可以尝试使用 bcrypt 来加密您的数据，并使用 PIN 作为加密盐。