Sessie maken met JWT

1. Kan JWT worden gebruikt voor sessies??
2. Hoe gebruik ik JWT voor sessiebeheer?
3. Wat is JWT-sessie?
4. Waarom is JWT slecht??
5. Moet ik sessies of JWT gebruiken??
6. Wat is er beter dan JWT?
7. Wat is een beter paspoort of JWT?
8. Is JWT hetzelfde als OAuth?
9. Is JWT genoeg??
10. Is JWT staatloos?
11. Is het OK om sessie-ID via URL te delen??
12. Is JWT opgeslagen in een cookie?

Kan JWT worden gebruikt voor sessies??

Hoewel het gebruik van JWT's voor OAuth algemeen wordt aanvaard, is het gebruik ervan voor het verifiëren van gebruikerssessies controversieel (zie dit bericht). In dit artikel zal ik proberen een uitgebreide lijst te maken van de voor- en nadelen van het gebruik van JWT voor deze context.

Hoe gebruik ik JWT voor sessiebeheer?

Als u een eenvoudige website bouwt zoals hierboven beschreven, kunt u het beste doorgaan met saaie, eenvoudige en veilige server-side-sessies. In plaats van een gebruikers-ID in een JWT op te slaan en vervolgens een JWT in een cookie op te slaan: sla de gebruikers-ID gewoon direct in de cookie op en klaar.

Wat is JWT-sessie?

Sessie vertegenwoordigt informatie die is gekoppeld aan een bepaalde gebruiker en is ontworpen om te blijven bestaan ​​tijdens de interactie van de gebruiker met de applicatie. Dat is precies wat we zullen proberen te bereiken met JWT. Stateless JSON Web Token is een op zichzelf staand token dat geen vertegenwoordiging op de backend nodig heeft.

Waarom is JWT slecht??

Een niet-aflopende JWT kan een beveiligingsrisico worden. U vertrouwt er ook op dat de tokenhandtekening niet kan worden aangetast. Dit kan gebeuren als u zwakke codering gebruikt, codering die in de toekomst kwetsbaar wordt, of als de privésleutels zijn aangetast. Deze kwetsbaarheid bestaat niet bij sessies.

Moet ik sessies of JWT gebruiken??

Op token gebaseerde authenticatie met JWT is de meer aanbevolen methode in moderne web-apps. Een nadeel van JWT is dat de grootte van JWT veel groter is in vergelijking met de sessie-ID die in de cookie is opgeslagen, omdat JWT meer gebruikersinformatie bevat.

Wat is er beter dan JWT?

Voor lokale of interne services gebruiken we een algoritme met symmetrische sleutel. Maar in tegenstelling tot JWT, dat alleen base64-codeert voor de payload en het token ondertekent, versleutelt en authenticeert PASETO alle gegevens in het token met een geheime sleutel, met behulp van een sterk Authenticated Encryption with Associated Data (of AEAD ) algoritme.

Wat is een beter paspoort of JWT?

Het verschil tussen Passport en Passport-JWT is dat Passport geen specifieke authenticatiemethode heeft, in plaats daarvan worden veel methoden geïmplementeerd met behulp van paspoort als strategieën voor authenticatie, terwijl Passport-JWT een strategie is die een webtokenmethode gebruikt met behulp van paspoort voor authenticatie.

Is JWT hetzelfde als OAuth?

JWT en OAuth2 zijn totaal verschillend en hebben verschillende doelen, maar ze zijn compatibel en kunnen samen worden gebruikt. Het OAuth2-protocol specificeert niet het formaat van de tokens, daarom kunnen JWT's worden opgenomen in het gebruik van OAuth2.

Is JWT genoeg??

JWT is geweldig als je veilig wilt kunnen bepalen of een gebruiker een specifieke oproep heeft gedaan zonder te valideren tegen een soort sessieopslag, maar dit betekent dat als iemand het token kan verkrijgen, ze die gebruiker kunnen imiteren, zelfs als ze was al uitgelogd uit het systeem (wat dwarsboomt) ...

Is JWT staatloos?

JSON Web Tokens (JWT) worden stateless genoemd omdat de autoriserende server geen status hoeft te behouden; het token zelf is alles wat nodig is om de autorisatie van een tokendrager te verifiëren. JWT's worden ondertekend met behulp van een algoritme voor digitale handtekeningen (e.g. RSA) die niet kan worden vervalst.

Is het OK om sessie-ID via URL te delen??

(1) Ja, het delen van een sessie-ID is oké, omdat het alleen naar de beoogde gebruiker gaat. ... (3) Een applicatie mag geen sessie-ID delen via een URL.

Is JWT opgeslagen in een cookie?

Nu de JWT zich in een cookie bevindt, wordt deze automatisch naar de API verzonden bij elke aanroep die we ernaar doen. Dit is hoe de browser zich standaard gedraagt. Maar nogmaals, we moeten onze front-end en back-end via dezelfde oorsprong laten bedienen om dit mogelijk te maken.