Creați o sesiune cu JWT

1. Poate fi folosit JWT pentru sesiuni?
2. Cum folosesc JWT pentru gestionarea sesiunii?
3. Ce este sesiunea JWT?
4. De ce este rău JWT?
5. Ar trebui să folosesc sesiuni sau JWT?
6. Ce este mai bun decât JWT?
7. Care este mai bine pașaport sau JWT?
8. Este JWT la fel ca OAuth?
9. Este suficient JWT?
10. Este apatrid JWT?
11. Este OK să partajați ID-ul sesiunii prin URL?
12. JWT este stocat în cookie?

Poate fi folosit JWT pentru sesiuni?

În timp ce utilizarea JWT-urilor pentru OAuth este larg acceptată, utilizarea sa pentru autentificarea sesiunilor utilizatorilor este controversată (vezi acest post). În acest articol, voi încerca să fac o listă cuprinzătoare a avantajelor și dezavantajelor utilizării JWT în acest context.

Cum folosesc JWT pentru gestionarea sesiunii?

Dacă creați un site web simplu, precum cele descrise mai sus, atunci cel mai bun pariu este să rămâneți cu sesiuni plictisitoare, simple și sigure pe server. În loc să stocați un ID de utilizator în interiorul unui JWT, apoi să stocați un JWT în interiorul unui cookie: doar stocați ID-ul de utilizator direct în interiorul cookie-ului și faceți-l cu el.

Ce este sesiunea JWT?

Sesiunea reprezintă informații asociate cu un anumit utilizator și este concepută pentru a persista pe tot parcursul interacțiunii utilizatorului cu aplicația. Exact asta vom încerca să realizăm folosind JWT. Jetonul Web JSON fără stat este un simbol auto-conținut care nu are nevoie de nicio reprezentare pe backend.

De ce este rău JWT?

Un JWT neexpirant poate deveni un risc de securitate. De asemenea, aveți încredere că semnătura simbolului nu poate fi compromisă. Acest lucru se poate întâmpla dacă utilizați o criptare slabă, criptare care devine vulnerabilă în viitor sau dacă aveți cheile private compromise. Această vulnerabilitate nu există cu sesiunile.

Ar trebui să folosesc sesiuni sau JWT?

Autentificarea bazată pe jeton folosind JWT este metoda mai recomandată în aplicațiile web moderne. Un dezavantaj al JWT este că dimensiunea JWT este mult mai mare în comparație cu ID-ul sesiunii stocat în cookie deoarece JWT conține mai multe informații despre utilizator.

Ce este mai bun decât JWT?

Pentru serviciile locale sau interne, folosim un algoritm cu cheie simetrică. Dar, spre deosebire de JWT, care codifică doar încărcătura bazată pe 64 și semnează simbolul, PASETO criptează și autentifică toate datele din simbol cu ​​o cheie secretă, utilizând un algoritm puternic de criptare autentificată cu date asociate (sau AEAD).

Care este mai bine pașaport sau JWT?

Diferența dintre Passport și Passport-JWT este că Passport nu are nicio metodă specială de autentificare, în schimb multe metode sunt implementate folosind pașaport ca strategii de autentificare, în timp ce Passport-JWT este o strategie care folosește metoda token web folosind pașaport pentru autentificare.

Este JWT la fel ca OAuth?

JWT și OAuth2 sunt complet diferite și au scopuri diferite, dar sunt compatibile și pot fi utilizate împreună. Protocolul OAuth2 nu specifică formatul jetoanelor, prin urmare JWT-urile pot fi încorporate în utilizarea OAuth2.

Este suficient JWT?

JWT sunt minunate atunci când doriți să puteți stabili în siguranță dacă un utilizator a efectuat un anumit apel fără a fi nevoie să valideze pentru un fel de magazin de sesiuni, dar acest lucru înseamnă că, dacă cineva de unde să achiziționeze jetonul, ar putea să-l identifice pe utilizator, chiar dacă se deconectase deja de la sistem (care împiedică ...

Este apatrid JWT?

JSON Web Jeton (JWT) sunt denumite apatri, deoarece serverul de autorizare nu trebuie să mențină niciun stat; jetonul în sine este tot ceea ce este necesar pentru a verifica autorizația unui purtător de jetoane. JWT-urile sunt semnate folosind un algoritm de semnătură digitală (e.g. RSA) care nu poate fi falsificat.

Este OK să partajați ID-ul sesiunii prin URL?

(1) Da, partajarea unui ID de sesiune este în regulă, deoarece se adresează doar utilizatorului dorit. ... (3) O aplicație nu trebuie să partajeze un ID de sesiune prin intermediul unei adrese URL.

Este JWT stocat în cookie?

Acum că JWT se află într-un cookie, va fi trimis automat către API în orice apeluri pe care le facem. Acesta este modul în care browserul se comportă implicit. Dar, din nou, trebuie să avem front-end și backend servite peste aceeași origine pentru ca acest lucru să se întâmple.