როგორ იწურება JWT ტოკენების ვადა?

2024 ავტორი: Lynn Donovan | [email protected]. ბოლოს შეცვლილი: 2023-12-15 23:49

ა JWT ჟეტონი რომ არასოდეს იწურება საშიშია, თუ ნიშანი მოიპარეს მერე ვიღაც შეუძლია ყოველთვის შედიხართ მომხმარებლის მონაცემებზე. ციტირებულია JWT RFC: ასე რომ, პასუხი აშკარაა, დააყენეთ ვადის გასვლა თარიღი ექსპლუატაციის საჩივარში და უარყოთ ნიშანი სერვერის მხარეს, თუ ექსპლუატაციის მოთხოვნაში თარიღი მიმდინარე თარიღამდეა.

შესაბამისად, რამდენ ხანს უნდა გაგრძელდეს JWT ტოკენი?

15 წუთი

გარდა ზემოთ, როგორ ინახავთ JWT ტოკენებს? ა JWT უნდა ინახებოდეს უსაფრთხო ადგილას მომხმარებლის ბრაუზერის შიგნით. Თუ შენ მაღაზია ეს არის localStorage-ში, ის ხელმისაწვდომია ნებისმიერი სკრიპტით თქვენს გვერდზე (რაც ისეთივე ცუდია, როგორც ჟღერს, რადგან XSS შეტევას შეუძლია გარე თავდამსხმელს წვდომა მისცეს ნიშანი ). ნუ მაღაზია ის ადგილობრივად შენახვა (ან სესია შენახვა ).

ზემოაღნიშნულის გარდა, როგორ ვაიძულო JWT ჟეტონს ვადა გასდეს?

JWT-ების ვადის გასვლის იძულება განახლების ტოკენებით

1. შეამოწმეთ ნიშნის არსებობა მოთხოვნის სათაურებში.
2. შეამოწმეთ, რომ ჟეტონი არის სწორი JWT, სწორად ხელმოწერილი და ვადაგასული.
3. შეამოწმეთ მომხმარებლის არსებობა payload-ის uid თვისებიდან.
4. შეამოწმეთ, რომ გაცემის განახლების ჟეტონი კვლავ არსებობს rid თვისებიდან.

რა განსხვავებაა წვდომის ჟეტონსა და განახლებას შორის?

The შორის განსხვავება ა განახლების ნიშანი და ა წვდომის ნიშანი არის აუდიტორია: განახლების ნიშანი ბრუნდება მხოლოდ ავტორიზაციის სერვერზე, წვდომის ნიშანი მიდის (RS) რესურს სერვერზე. გამაგრილებელი The წვდომის ნიშანი მოგცემთ წვდომა მომხმარებლის სახელით API-ს, ის არ გეტყვით იქ არის თუ არა მომხმარებელი.