Բովանդակություն:

Ինչպե՞ս են սպառվում JWT նշանները:
Ինչպե՞ս են սպառվում JWT նշանները:

Video: Ինչպե՞ս են սպառվում JWT նշանները:

Video: Ինչպե՞ս են սպառվում JWT նշանները:
Video: Քայլարշավ DDS238-2 Հզոր Zigbee DIN Rail էներգիայի մոնիտորինգի ռելե, տնային օգնականի ինտեգրում 2024, Նոյեմբեր
Anonim

Ա JWT նշան որ երբեք լրանում է վտանգավոր է, եթե նշան գողացված է, ապա ինչ-որ մեկը կարող է միշտ մուտք գործել օգտվողի տվյալները: Մեջբերված է JWT RFC: Այսպիսով, պատասխանն ակնհայտ է, սահմանեք ժամկետի ավարտը ամսաթիվը սպառման հայցում և մերժել նշան սերվերի կողմից, եթե սպառման պահանջի ամսաթիվը ընթացիկ ամսաթվից առաջ է:

Համապատասխանաբար, որքան ժամանակ պետք է տևի JWT նշանը:

15 րոպե

Բացի վերևից, ինչպես եք պահում JWT նշանները: Ա JWT պետք է պահվի օգտատիրոջ բրաուզերի ներսում ապահով տեղում: Եթե դու խանութ այն localStorage-ի ներսում, այն հասանելի է ձեր էջի ներսում գտնվող ցանկացած սկրիպտով (ինչը այնքան վատ է, որքան թվում է, քանի որ XSS հարձակումը կարող է թույլ տալ արտաքին հարձակվողին մուտք գործել դեպի նշան ) Մի՛ խանութ այն տեղական լեզվով պահեստավորում (կամ նիստ պահեստավորում ).

Բացի վերևից, ինչպե՞ս կարող եմ ստիպել JWT նշանի ժամկետը լրանալ:

Ստիպել JWT-ների ժամկետի ավարտը թարմացման նշաններով

  1. Ստուգեք հարցման վերնագրերում նշանի առկայությունը:
  2. Ստուգեք, որ նշանը վավեր JWT է, ճիշտ է ստորագրված և ժամկետանց:
  3. Ստուգեք, որ օգտագործողը գոյություն ունի օգտակար բեռի uid հատկությունից:
  4. Ստուգեք, որ թողարկող թարմացման նշանը դեռ գոյություն ունի rid սեփականությունից:

Ո՞րն է տարբերությունը մուտքի նշանի և թարմացման միջև:

Այն միջև տարբերությունը ա թարմացման նշան և ան մուտքի նշան հանդիսատեսն է թարմացման նշան միայն վերադառնում է դեպի թույլտվության սերվեր՝ the մուտքի նշան գնում է (RS) ռեսուրսների սերվեր: Թարմացնող որ մուտքի նշան կտա ձեզ մուտք օգտագործողի անունից API-ին, այն ձեզ չի ասի, արդյոք օգտատերը այնտեղ է:

Խորհուրդ ենք տալիս: