Akses token dalam kuki atau localstorage

1. Sekiranya saya menyimpan token akses dalam kuki atau simpanan tempatan?
2. Di mana kita harus menyimpan token akses?
3. Sekiranya token disimpan dalam simpanan tempatan?
4. Sekiranya anda menyimpan JWT dalam kuki?
5. Adakah selamat untuk menyimpan JWT dalam simpanan tempatan?
6. Harus mengakses token di cache?
7. Di mana anda menyimpan bahagian depan akses?
8. Apa yang tidak harus anda simpan di simpanan tempatan?
9. Adakah amalan yang baik untuk menyimpan token JWT dalam pangkalan data?
10. Bolehkah saya menghantar JWT dalam kuki?
11. Di mana saya harus menyimpan token akses dan refresh token?
12. Boleh mengakses token digodam?
13. Apakah dua kelemahan penyimpanan tempatan?
14. Adakah selamat untuk menyimpan token akses dalam penyimpanan sesi?
15. Adakah amalan yang baik untuk menggunakan localstorage?
16. Mengapa JWT tidak baik untuk sesi?
17. Sekiranya JWT berada di hadapan atau backend?
18. Apakah tempat terbaik untuk menyimpan JWT?
19. Adakah selamat untuk menyimpan token akses dalam penyimpanan sesi?
20. Mengapa JWT tidak baik untuk sesi?
21. Apakah perbezaan antara penyimpanan dan kuki sesi JWT?
22. Bagaimana anda menyimpan token dalam kuki?
23. Adakah penyimpanan sesi lebih selamat daripada kuki?
24. Adakah JWT lebih baik daripada OAuth?
25. Adakah JWT lebih selamat daripada sesi?
26. Apa yang lebih baik daripada JWT?

Sekiranya saya menyimpan token akses dalam kuki atau simpanan tempatan?

Kedua -dua kuki dan localStorage terdedah kepada serangan XSS. Walau bagaimanapun, penyimpanan token berasaskan cookie lebih cenderung untuk mengurangkan jenis serangan ini jika dilaksanakan dengan selamat. Komuniti OWASP mengesyorkan menyimpan token menggunakan kuki kerana banyak pilihan konfigurasi yang selamat.

Di mana kita harus menyimpan token akses?

# Token yang disimpan di localStorage dilindungi secara automatik dari serangan CSRF, kerana item LocalStorage tidak dihantar secara automatik ke pelayan dengan setiap permintaan HTTP. Tetapi mereka terdedah kepada serangan XSS, di mana mereka dapat dengan mudah diakses oleh JavaScript.

Sekiranya token disimpan dalam simpanan tempatan?

Sekiranya anda menyimpannya di dalam LocalStorage, ia boleh diakses oleh mana -mana skrip di dalam halaman anda. Ini sama buruknya dengan bunyi; Serangan XSS dapat memberikan akses penyerang luaran ke token. Untuk mengulangi, apa sahaja yang anda lakukan, jangan menyimpan JWT dalam storan tempatan (atau penyimpanan sesi).

Sekiranya anda menyimpan JWT dalam kuki?

Gunakan kuki untuk menyimpan token JWT - sentiasa selamat, selalu httponly, dan dengan bendera tapak yang sama. Konfigurasi ini akan menjamin data pelanggan anda, ia akan menghalang serangan XSS dan CSRF dan juga harus memudahkan aplikasi web, kerana anda tidak perlu mengambil berat tentang menggunakan token secara manual pada kod frontend lagi.

Adakah selamat untuk menyimpan JWT dalam simpanan tempatan?

JWT perlu disimpan di tempat yang selamat di dalam penyemak imbas pengguna. Apa -apa cara, anda tidak boleh menyimpan JWT dalam storan tempatan (atau penyimpanan sesi). Sekiranya anda menyimpannya di localStorage/sessionstorage maka ia dapat dengan mudah ditangkap oleh serangan XSS.

Harus mengakses token di cache?

Token cache

Secara lalai, token akses sah selama 60 minit, tetapi kami mengesyorkan menetapkan masa tamat tempoh hingga sekitar 50 minit untuk membolehkan penampan. Apabila anda memerlukan token, mula -mula periksa cache untuk token yang sah. Sekiranya token tamat, dapatkan yang baru dan simpan dalam cache selama 50 minit.

Di mana anda menyimpan bahagian depan akses?

Di mana saya harus menyimpan token saya di bahagian depan? Terdapat dua cara biasa untuk menyimpan token anda. Yang pertama adalah di localstorage dan yang kedua adalah dalam kuki. Terdapat banyak perdebatan di mana seseorang lebih baik dengan kebanyakan orang yang bersandar pada kuki kerana mereka lebih selamat.

Apa yang tidak harus anda simpan di simpanan tempatan?

Memandangkan vektor yang berpotensi di mana pelakon berniat jahat boleh mengakses maklumat mengenai penyimpanan tempatan pelayar anda, mudah untuk melihat mengapa maklumat sensitif seperti maklumat peribadi (PII), token pengesahan, lokasi pengguna dan kunci API, dll., tidak boleh disimpan dalam simpanan tempatan.

Adakah amalan yang baik untuk menyimpan token JWT dalam pangkalan data?

Sekiranya dalam apa jua keadaan lebih daripada satu JWT boleh dijana untuk pengguna untuk satu tujuan seperti token pengesahan e -mel, atau tetapkan semula token kata laluan dalam kes -kes tersebut, kita mesti menyimpan token/token terkini dalam db untuk dipadankan dengan yang paling terkini.

Bolehkah saya menghantar JWT dalam kuki?

Kuki. Sisi pelayan boleh menghantar token JWT ke penyemak imbas melalui kuki, dan penyemak imbas secara automatik akan membawa token JWT di tajuk cookie ketika meminta antara muka pelayan, dan sisi pelayan dapat mengesahkan token JWT di tajuk cookie mencapai pengesahan.

Di mana saya harus menyimpan token akses dan refresh token?

Sekiranya aplikasi anda menggunakan putaran token semula, kini boleh menyimpannya dalam storan tempatan atau memori penyemak imbas. Anda boleh menggunakan perkhidmatan seperti auth0 yang menyokong putaran token.

Boleh mengakses token digodam?

Untuk jenis geran tersirat, token akses dihantar melalui penyemak imbas, yang bermaksud penyerang boleh mencuri token yang berkaitan dengan aplikasi klien yang tidak bersalah dan menggunakannya secara langsung.

Apakah dua kelemahan penyimpanan tempatan?

Putuskan pemacu dari rangkaian menjadikan data anda selamat dari serangan. Kelemahan ke penyimpanan tempatan adalah utama. Membuat dan mengekalkan sistem penyimpanan tempatan mahal. Perkakasan dan perisian boleh menelan belanja beribu -ribu dolar bergantung pada berapa banyak ruang yang anda perlukan.

Adakah selamat untuk menyimpan token akses dalam penyimpanan sesi?

Ini memberikan pengalaman pengguna yang lebih baik. Walau bagaimanapun, kaedah ini mudah terdedah kepada serangan skrip lintas tapak dan perpustakaan pihak ketiga yang berniat jahat dapat mengakses token ini dengan mudah. Kebanyakan garis panduan, sambil memberi nasihat terhadap menyimpan token akses dalam sesi atau storan tempatan, mengesyorkan penggunaan kue sesi.

Adakah amalan yang baik untuk menggunakan localstorage?

Secara asas, storan tempatan membolehkan pemaju menyimpan dan mengambil data dalam penyemak imbas. Walau bagaimanapun, penting untuk difahami bahawa menggunakan LocalStorage sebagai pangkalan data untuk projek anda bukanlah amalan yang baik, kerana data akan hilang apabila pengguna membersihkan cache, antara lain.

Mengapa JWT tidak baik untuk sesi?

Walaupun JWT menghapuskan carian pangkalan data, ia memperkenalkan isu keselamatan dan kerumitan lain semasa melakukannya. Keselamatan adalah binari - sama ada ia selamat atau tidak. Dengan itu menjadikannya berbahaya untuk menggunakan JWT untuk sesi pengguna.

Sekiranya JWT berada di hadapan atau backend?

Anda harus melaksanakannya di kedua -dua backend / frontend. Hujung depan harus mempunyai UI untuk mendapatkan log masuk / kata laluan yang dimasukkan oleh pengguna.

Apakah tempat terbaik untuk menyimpan JWT?

JWT harus disimpan dalam kuki. Anda boleh menggunakan bendera httponly dan selamat bergantung pada keperluan anda. Untuk melindungi dari atribut cookie samesite csrf boleh ditetapkan untuk ketat jika ia umumnya sesuai dengan aplikasi anda - ia akan menghalang pengguna log masuk laman web anda untuk mengikuti sebarang pautan ke laman web anda dari mana -mana laman web lain.

Adakah selamat untuk menyimpan token akses dalam penyimpanan sesi?

Ini memberikan pengalaman pengguna yang lebih baik. Walau bagaimanapun, kaedah ini mudah terdedah kepada serangan skrip lintas tapak dan perpustakaan pihak ketiga yang berniat jahat dapat mengakses token ini dengan mudah. Kebanyakan garis panduan, sambil memberi nasihat terhadap menyimpan token akses dalam sesi atau storan tempatan, mengesyorkan penggunaan kue sesi.

Mengapa JWT tidak baik untuk sesi?

Walaupun JWT menghapuskan carian pangkalan data, ia memperkenalkan isu keselamatan dan kerumitan lain semasa melakukannya. Keselamatan adalah binari - sama ada ia selamat atau tidak. Dengan itu menjadikannya berbahaya untuk menggunakan JWT untuk sesi pengguna.

Apakah perbezaan antara penyimpanan dan kuki sesi JWT?

Token JWT kadang -kadang disebut sebagai "token pembawa" kerana semua maklumat mengenai pengguna i.e. "Pembawa" terkandung dalam token. Sekiranya pendekatan berasaskan cookie sesi, sessionId tidak mengandungi sebarang maklumat userid, tetapi rentetan rawak yang dihasilkan dan ditandatangani oleh "kunci rahsia".

Bagaimana anda menyimpan token dalam kuki?

Simpan token dalam penyimpanan penyemak imbas dan tambahkan ke permintaan berikutnya menggunakan JavaScript. Penyemak imbas boleh menyimpan token ini dalam penyimpanan tempatan, penyimpanan sesi, atau penyimpanan kuki. Maka token ini akan ditambah kepada tajuk kebenaran permintaan yang diperlukan dan dihantar ke sisi pelayan untuk pengesahan permintaan.

Adakah penyimpanan sesi lebih selamat daripada kuki?

Sekiranya kita menginginkannya di pelayan, maka kita menggunakannya, dan penyimpanan sesi digunakan apabila kita mahu memusnahkan data apabila tab tertentu ditutup atau musim ditutup oleh pengguna. Terdapat juga beberapa isu keselamatan yang berkaitan dengan objek penyimpanan web, tetapi mereka dianggap lebih selamat daripada kuki.

Adakah JWT lebih baik daripada OAuth?

JWT sesuai untuk aplikasi tanpa kewarganegaraan, kerana ia membolehkan aplikasi mengesahkan pengguna dan memberi kuasa akses kepada sumber tanpa mengekalkan keadaan sesi di pelayan. OAuth, sebaliknya, mengekalkan keadaan sesi di pelayan dan menggunakan token yang unik untuk memberikan akses kepada sumber pengguna.

Adakah JWT lebih selamat daripada sesi?

Jwts berbanding kuki sesi

JWTS membolehkan kebenaran yang lebih cepat dan lebih banyak interoperabilitas dengan aplikasi luaran, tetapi mereka menuntut lebih banyak pelaburan pemaju untuk menangani kerumitan keselamatan mereka, dan mungkin tidak sesuai untuk aplikasi yang membolehkan akses kepada data atau tindakan sensitif.

Apa yang lebih baik daripada JWT?

JSON Web Token (JWT) adalah pengesahan berasaskan token yang paling popular. Walau bagaimanapun, banyak ancaman keselamatan telah didedahkan pada tahun -tahun kebelakangan ini, menyebabkan orang ramai berhijrah ke jenis token lain. Token Keselamatan Agnostik Platform atau Paseto adalah salah satu token yang diterima sebagai alternatif terbaik untuk JWT.