如果使用JWT，我需要CSRF吗？

Question

我已经设置了一个使用JWT身份验证进行用户登录的单页网站。 它使用angularjs和ui-router来导航页面。

我还需要CSRF保护吗？或者我可以只使用JWT令牌来保护仅管理区域？

Answer 1

单页面应用程序通常允许用户登录并使用生成的JWT令牌通过承载方案验证调用REST API。

加载应用程序框架页面（HTML/JavaScript/CSS等）通常不安全（因为这些文件不包含敏感数据）。浏览器不会自动将承载令牌添加到页面请求中。

如果您想保护您的HTML和JavaScript页面，您可以使用基于cookie的身份验证，因为Cookie会自动添加到浏览器的请求中。