python - 在使用了 oauth2.0 的 web 项目当中如何使用 JWT

Question

我现在要做的项目Django是前后分离的，后端用的 Django。要使用QQ第三方登录。目前用的 python-social-oauth 做的 oauth2.0 登录。
现在的问题是，打算用 JWT + RESTFul 和服务器端做数据对接。问题是 如何将 JWT 的 token 发到前端呢？我打算是放到 cookie 里面。但是不知道这种方式有没有安全问题。

Answer 1

把token放到cookie就不叫JWT了。需要使用下面的 HTTP Header传递给服务端

Authorization: Bearer <token>

Answer 2

一般都是在用户登录成功或注册成功时将token发送到前端，前端可以考虑用cookie存，但别忘了使用http-only，也可以用localStorage、sessionStorage等机制来存储，具体看你业务需求。另外，因为jwt是按照一定规律生成的base64串，所以个人建议是后端先使用AES或DES或其它对称加密方式对token加密后再发放给前端，前端在发请求之前带上加密后的token，这样能在一定程度上增大破解token的难度。