Как истекает срок действия токенов JWT?

2024 Автор: Lynn Donovan | [email protected]. Последнее изменение: 2023-12-15 23:52

А Токен JWT что никогда истекает опасно, если жетон украдено то кто-то жестяная банка всегда иметь доступ к данным пользователя. Цитируется из JWT RFC: Итак, ответ очевиден, установите истечение срока дату в заявлении об истечении срока действия и отклонить жетон на стороне сервера, если дата в заявке на истечение срока предшествует текущей дате.

Соответственно, как долго должен длиться токен JWT?

15 минут

Кроме того, как вы храните токены JWT? А JWT необходимо хранить в безопасном месте в браузере пользователя. если ты хранить он находится внутри localStorage, он доступен для любого скрипта на вашей странице (что так же плохо, как звучит, поскольку атака XSS может позволить внешнему злоумышленнику получить доступ к жетон ). Не надо хранить это в местном место хранения (или сеанс место хранения ).

Кроме того, как мне принудительно истечь токен JWT?

Принудительное истечение срока действия JWT с помощью токенов обновления

1. Проверить наличие токена в заголовках запроса.
2. Убедитесь, что токен является действительным JWT, правильно подписан и не просрочен.
3. Убедитесь, что пользователь существует, с помощью свойства uid полезной нагрузки.
4. Убедитесь, что выпускающий токен обновления все еще существует, из свойства rid.

В чем разница между токеном доступа и обновлением?

В разница между а обновить токен и токен доступа это аудитория: обновить токен возвращается только на сервер авторизации, токен доступа переходит на сервер ресурсов (RS). Освежающий в токен доступа даст тебе доступ к API от имени пользователя, он не скажет вам, есть ли там пользователь.