説明/参照：

JSON Web Token（JWT）は、検証可能でステートレスな方法で認証情報を永続化するための優れたメカニズムですが、そのトークンは引き続きどこかに保存する必要があります。ログインフォームは、最も一般的な攻撃ベクトルの1つです。ユーザーにユーザー名とパスワードを教えてもらいたいので、ユーザーが誰で、何にアクセスできるかがわかります。ユーザーが誰であるかを覚えておきたいので、ユーザーはそれらの資格情報をもう一度提示しなくてもUIを使用できます。そして、私たちはそれらすべてを安全に行いたいと思っています。JWTはどのように役立ちますか？従来の解決策は、ユーザーのブラウザにセッションCookieを配置することです。このCookieには、サーバー内の「セッション」を参照する識別子が含まれています。これは、サーバーがこのユーザーを記憶しているデータベース内の場所です。
ただし、セッション識別子にはいくつかの欠点があります。
彼らはステートフルです。サーバーはそのIDを記憶し、すべてのリクエストを検索する必要があります。これは、大規模なシステムでは負担になる可能性があります。
それらは不透明です。クライアントやサーバーにとっては意味がありません。クライアントはアクセスが許可されているものを認識していないため、サーバーはデータベースにアクセスして、このセッションの対象者と、要求された操作の実行が許可されているかどうかを確認する必要があります。
JWTは、共通のデータ形式を使用してサービス間で共有できる、自己完結型の署名付きステートレス認証アサーションになることで、これらすべての懸念に対処します。JWTは、秘密鍵で署名された自己完結型の文字列です。これらには、IDとアクセス範囲を主張する一連のクレームが含まれています。それらはCookieに保存できますが、これらのルールはすべて適用されます。実際、JWTは不透明なセッション識別子を置き換えることができるので、それは完全な勝利です。
ブラウザにJWTを保存する方法
簡単な答え：HttpOnlyでCookieを使用します。安全なフラグ。これにより、ブラウザは認証目的でトークンを送信できますが、JavaScript環境には公開されません。

説明/参照：