Ａ,Ｂ系统是前后端分离的。
(两个系统跨域)
现在Ａ系统一个页面跳转到Ｂ系统中。
现在是用的跳转到Ｂ系统，地址栏中带了一个加密token (包含用户id).帮其自动登陆上了。
此页面显示的商品信息和该用户的折扣。
此时假如我知道了别人的token，然后修改地址栏。页面就变成别人的信息了。
此时我都不知道别人的账号密码，然后就获得了别人的一些用户信息.
曾经蜡笔没有小新2017-07-03 11:45:27
最简单的办法，也是比较安全的办法。在b站帮其登录的时候，再弹次框。让其确认密码！
有个叫csrf的令牌或者。随机数的办法。值得你拥有。csrf令牌就是限制这样的跨域攻击的
JWT的验证token是要放到header里的，你可以考虑授权认证
高洛峰2017-07-03 11:45:27
首先token的出现就是为了解决用户验证的问题 既然是两个系统了就应该避免自动登录的这种情况 这是很不安全的。
不过你既然有这样的需求 那只有尽量侧面规避了，给个方案：token中尽量避免敏感信息 ，其次就是在授权跨系统的token时 把这个token的授权设为一次性的 并且压缩token的有效时间 如此token只办30分钟内有效
其实你可以参考现在的很多第三方登录 如微博等 授权的token都只包含昵称，头像等少量信息
PHP中文网2017-07-03 11:45:27
题主这是真实场景的情况吗？
如果你能得到别人的 token，相当于窃听了他的密码，这不是 JWT 的安全问题。
与 JWT 本身有关的措施，就是加入过期时间，强制 JWT 在一定时间后失效。
根据 JWT 规范，JWT 最好是放在请求头部 Authorization 中，不要放在 URL 里。
HTTPS 是有用的。
