仅 HTTP Cookie 中的 JWT
签发 JWT 并将其存储在仅 HTTP Cookie 中，以防止 XSS 令牌被窃取。
仅 HTTP Cookie 中的 JWT 是 CoddyKit 上的免费 Sveltejs Academy 课时。 这是第 2 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Sveltejs Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Sveltejs Academy 课程共包含 4 节课。
JWT 基础
JSON Web Token 是一种自包含令牌，其中携带由服务器签名的声明。
为什么使用 JWT
JWT 不需要服务器端存储会话。令牌本身就能证明身份。
存储在 httpOnly Cookie 中
将 JWT 设置为 httpOnly Cookie，以防止 XSS 窃取。
cookies.set("token", jwt, { httpOnly: true, secure: true, path: "/" });避免使用 localStorage
永远不要将 JWT 存储在 localStorage 中。XSS 攻击可以读取它并冒充用户。
在钩子中验证
在 handle 中验证令牌签名并解码声明。
const token = event.cookies.get("token");
try { event.locals.user = verify(token, SECRET); } catch { event.locals.user = null; }使用密钥签名
使用只有服务器知道的强密钥为令牌签名。切勿暴露该密钥。
过期时间
设置较短的过期时间（15 到 60 分钟），并使用刷新令牌进行续期。
算法
对称签名使用 HS256，非对称签名（公钥/私钥）使用 RS256。
刷新令牌
签发刷新令牌，以便在无需重新登录的情况下获取新的访问令牌。
注销策略
如果没有黑名单，就无法立即撤销 JWT。请使用较短的过期时间来降低风险。
库
请使用 jose 或 jsonwebtoken npm 包进行签名和验证。
快速检查
不应将 JWT 存储在哪里？
回顾
请将 JWT 存储在 httpOnly Cookie 中，在钩子中进行验证，设置较短的过期时间，并使用刷新令牌进行续期。
常见问题解答
「仅 HTTP Cookie 中的 JWT」课时是免费的吗？
是的 — 「仅 HTTP Cookie 中的 JWT」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Sveltejs Academy 课程的其余内容，请升级到 CoddyKit PRO。 Sveltejs Academy 课程共包含 4 节课。
「仅 HTTP Cookie 中的 JWT」这节课中我会学到什么？
签发 JWT 并将其存储在仅 HTTP Cookie 中，以防止 XSS 令牌被窃取。 你通过在浏览器中直接运行的动手代码来练习 Sveltejs Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Sveltejs Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Sveltejs Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 2 节课，共 4 节。
「仅 HTTP Cookie 中的 JWT」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Sveltejs Academy 课中编写并运行代码吗？
能。每节 Sveltejs Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。
此课程中的所有课时
- 基于 Cookie 的会话
- 仅 HTTP Cookie 中的 JWT
- handle() 钩子中的受保护路由
- 使用 SvelteKit 和 Lucia Auth 实现 OAuth