关于使用wtsform的问题

Question

老师，在项目中使用了wtsform这个验证器，我在查找资料时发现这个验证器居然有 xss漏洞，去看了一下他的URL验证确实如此
https://www.leavesongs.com/PENETRATION/opensource-software-safe-about-wtform-xss.html
这个时别人发的文档，
另外，老师，在项目中使用jwt做api验证的问题，这个jwt在用户退出登陆后，拿到客户端的token，再去请求接口，还是可以使用，这个是不是有点不安全了。

Answer 1

bobby 2019-11-07 17:31:08

上面这篇文章比较早了，所以是否目前已经解决了这个问题，还需要自己测试一下

jwt确实存在这个问题，这是由于jwt的原理决定的，因为这个没有保存在服务器所以退出无非就是删除，所以退出是一个假退出，别人拿到仍然可以使用，jwt为了确保安全性就采用了一种过期的方案，不过虽然jwt有这些缺点。不过jwt用于做分布式应用确实很方便的，所以具体要不要用就看自己的需求了

• 提问者 兰小宇 #1

  wtsform目前没有解决这个问题,我去看源码了。jwt的过期方案也不行，比如你设置一天，那一天之内这个token还是有效的,看来只能用cookie或者oauth2,比较合适

• bobby 回复 提问者 兰小宇 #2

  过期的逻辑课程中已经测试过了 你可以单独写脚本测试一下这个token是否过期了，jwt已经是很完善的方案了