JWT можно положить в cookie, которую сервер устанавливает с HttpOnly. Тогда JavaScript не читает токен, а браузер отправляет его подходящему серверу автоматически.
Ты сказал, что JWT можно передавать в HTTP-only cookie. Что ты имел в виду?
JWT можно положить в cookie, которую сервер устанавливает с HttpOnly. Тогда JavaScript не читает токен, а браузер отправляет его подходящему серверу автоматически.
Короткий ответ
Что ответить на собеседовании
Подробный разбор
Ответ с пояснениями
JWT можно положить в cookie, которую сервер устанавливает с HttpOnly. Тогда JavaScript не читает токен, а браузер отправляет его подходящему серверу автоматически.
Backend извлекает JWT из Cookie и проверяет подпись, срок и остальные требуемые claims. HttpOnly относится к доступности cookie скриптам, а не к формату JWT или шифрованию его payload. Нужны HTTPS, подходящие cookie-атрибуты и защита от CSRF; автоматическая отправка сама по себе не является авторизацией.