Sådan gemmes genereret JWT-token til cookies ved login?

1. Hvordan gemmer jeg et JWT-token i cookie?
2. Hvordan gemmer jeg JWT i httpOnly cookie?
3. Hvordan gemmer jeg JWT-tokens i lokal opbevaring?
4. Hvor skal JWT-tokens opbevares?
5. Er det sikkert at gemme adgangstoken i cookie?
6. Er httpKun cookie sikker?
7. Er det sikkert at opbevare JWT i localStorage?
8. Kan JavaScript indstille HttpOnly-cookie?
9. Hvordan opdaterer jeg JWT-tokens?
10. Hvad sker der, når JWT-token udløber?
11. Er JWT-tokens sikre?
12. Er JWT det samme som OAuth?

Hvordan gemmer jeg et JWT-token i cookie?

Refactor for at gemme JWT i en cookie. Det første skridt til at skifte til brug af cookies er at få vores API til at indstille en cookie i brugerens browser, efter at de har logget ind. Cookies indstilles i browseren, hvis svaret på et HTTP-opkald indeholder et Set-Cookie-header.

Hvordan gemmer jeg JWT i httpOnly cookie?

Gem dit adgangstoken i hukommelsen, og gem opdateringstokenet i cookien: Link til dette afsnit

1. Brug httpOnly-flag for at forhindre JavaScript i at læse det.
2. Brug det sikre = ægte flag, så det kun kan sendes via HTTPS.
3. Brug SameSite = strengt flag, når det er muligt, for at forhindre CSRF.

Hvordan gemmer jeg JWT-tokens i lokal opbevaring?

Først skal du oprette eller generere token gennem Jwt (jsonWebTokens) og derefter enten gemme den i lokal opbevaring eller via cookie eller gennem session. Jeg foretrækker generelt lokal opbevaring, fordi det er lettere at gemme token i lokal opbevaring via SET og hente det ved hjælp af GET-metoden.

Hvor skal JWT-tokens opbevares?

De fleste mennesker har tendens til at gemme deres JWT'er i den lokale lagring i webbrowseren. Denne taktik efterlader dine applikationer åbne for et angreb kaldet XSS. Vi diskuterer kun XSS i JWT-sammenhæng, du kan finde mere om det her.

Er det sikkert at gemme adgangstoken i cookie?

Lokal opbevaring er sårbar, fordi den er let tilgængelig ved hjælp af JavaScript, og en angriber kan hente dit adgangstoken og bruge det senere. Selvom httpOnly cookies ikke er tilgængelige ved hjælp af JavaScript, betyder det ikke, at ved at bruge cookies er du sikker på XSS-angreb, der involverer dit adgangstoken.

Er httpKun cookie sikker?

Alt det gør er at forhindre script i at læse cookien. ... HttpOnly beskytter slet ikke, hvis der er en side, der afspejler cookiens værdier tilbage fra serveren. En XSS kunne bare læse serverens svar.

Er det sikkert at opbevare JWT i localStorage?

Hvis du ikke har en god grund til at placere din JWT i lokal opbevaring, skal du ikke! Opbevaring som standard i en cookie (med det sikre, httpOnly og sameSite-flag indstillet). Hvis du har en god grund til at lægge det i lokal opbevaring, skal du vælge det!

Kan JavaScript indstille HttpOnly cookie?

En HttpOnly-cookie betyder, at den ikke er tilgængelig for scripting-sprog som JavaScript. Så i JavaScript er der absolut ingen API tilgængelig til at hente / indstille HttpOnly-attributten for cookien, da det ellers ville besejre betydningen af ​​HttpOnly .

Hvordan opdaterer jeg JWT-tokens?

Ideen er at generere to tokens: et adgangstoken (gyldigt i 10 minutter) og et opdateringstoken med længere levetid. Hver gang adgangstoken udløber, sender klientsiden-appen en anmodning om at generere et nyt adgangstoken ved hjælp af opdateringstokenet.

Hvad sker der, når JWT-token udløber?

Denne bruger har stort set 5 til 10 minutter til at bruge JWT, før den udløber. Når det udløber, bruger de deres nuværende opdateringstoken til at prøve at få en ny JWT. Da opdateringstoken er tilbagekaldt, mislykkes denne handling, og de bliver tvunget til at logge ind igen.

Er JWT-tokens sikre?

Brug af JWT'er går sikkert ud over at kontrollere deres underskrifter. Bortset fra signaturen kan JWT indeholde et par andre sikkerhedsrelaterede egenskaber. Disse egenskaber kommer i form af reserverede krav, der kan indgå i kroppen af ​​JWT. Det mest afgørende sikkerhedskrav er "exp" -kravet.

Er JWT det samme som OAuth?

JWT og OAuth2 er helt forskellige og tjener forskellige formål, men de er kompatible og kan bruges sammen. OAuth2-protokollen angiver ikke formatet for tokens, derfor kan JWT'er indarbejdes i brugen af ​​OAuth2.