jwt的秘钥安全性问题

Question

jwt的秘钥泄露了不就gg了,秘钥是开发人员设置的,万一他离职了乱搞不就完蛋了?

Answer 1

1.动态生成
2.设置有效期,比如 3天更新一次
3.人为手动修改配置

Answer 2

1. 这个世界上还真没有什么加密能说百分百的不可破解，很多加密算法的说自己多厉害的条件是 当秘钥足够长。
2. jwt的秘钥由服务端程序管理，常用一个密码，曝光、被破解的几率越高，所以往往推荐用户勤换密码，秘钥也是如此。
3. 秘钥更换过渡期策略可以根据实际情况做处理，更换完成后上个秘钥有效性保留一段时间也可。