내가 작업하고있는 새로운 node.js 프로젝트의 경우 쿠키 기반 세션 접근 방식에서 전환하는 것에 대해 생각하고 있습니다. JSON 웹 토큰 (jwt)을 사용하여 토큰 기반 세션 접근 방식 (키-값 저장소 없음)
이 프로젝트는 socket.io를 사용하는 게임입니다. 토큰 기반 세션을 갖는 것은 단일 세션 (web 및 socket.io)에 여러 통신 채널이있는 시나리오에서 유용합니다.
jwt 접근 방식을 사용하여 서버에서 토큰 / 세션 무효화를 어떻게 제공합니까?
또한 이런 종류의 패러다임에서 어떤 일반적인 (또는 드문) 함정 / 공격을 찾아야하는지 이해하고 싶었습니다. 예를 들어이 패러다임이 세션 저장소 / 쿠키 기반 접근 방식과 동일하거나 다른 종류의 공격에 취약한 경우.
세션 저장소 로그인 :
app.get('/login', function(request, response) {
var user = {username: request.body.username, password: request.body.password };
// Validate somehow
validate(user, function(isValid, profile) {
// Create session token
var token= createSessionToken();
// Add to a key-value database
KeyValueStore.add({token: {userid: profile.id, expiresInMinutes: 60}});
// The client should save this session token in a cookie
response.json({sessionToken: token});
});
}
토큰 기반 로그인 :
var jwt = require('jsonwebtoken');
app.get('/login', function(request, response) {
var user = {username: request.body.username, password: request.body.password };
// Validate somehow
validate(user, function(isValid, profile) {
var token = jwt.sign(profile, 'My Super Secret', {expiresInMinutes: 60});
response.json({token: token});
});
}
-
세션 저장소 접근 방식에 대한 로그 아웃 (또는 무효화)을 위해서는 지정된 토큰으로 KeyValueStore 데이터베이스를 업데이트해야합니다.
토큰 자체에는 일반적으로 키-값 저장소에 존재하는 정보가 포함되므로 이러한 메커니즘은 토큰 기반 접근 방식에 존재하지 않는 것 같습니다.
데이터베이스에서 사용자의 액세스 상태를 확인할 수 있도록 액세스 토큰에 짧은 만료 시간을 사용하고 만료 시간이 긴 새로 고침 토큰을 사용하십시오 (블랙리스트). auth0.com/blog/…
—
Rohmer
또 다른 옵션은 jwt 토큰을 생성하고 동일한 IP 주소에 대해 저장된 IP와 수신 요청을 확인하는 동안 페이로드에 IP 주소를 첨부하는 것입니다. 예 : nodeJs의 req.connection.remoteAddress 고객 당 고정 IP를 발행하지 않는 ISP 제공 업체가 있습니다. 클라이언트가 인터넷에 다시 연결하지 않으면 이것이 문제가되지 않을 것이라고 생각합니다.
—
Gihan Sandaru
isRevoked옵션을 보거나 동일한 기능을 복제 할 수 있습니다. github.com/auth0/express-jwt#revoked-tokens