Role używające JWT

Question

Jestem nowy w JWT. Nauczyłem się trochę o JWT i zrozumiałem, że jest on sformułowany jako "header.claims.signature".

Rozważmy prosty scenariusz, co następuje:

• Klient zostaje uwierzytelniony
• Klient może mieć (jednego lub więcej) role administratora, członek, zarejestrowany, gość
• Serwer nie utrzymywać żadnych sesja (i zależy wyłącznie od JWT w celu uwierzytelnienia/autoryzacji)

Po uwierzytelnieniu serwer znajduje typ klienta i zakładam, że identyfikator klienta i role będą częścią "roszczeń" w JWT. Daj mi znać, jeśli moje założenie jest nieprawidłowe (lub niezgodne ze standardem).

Część "roszczenia" JWT nie jest zaszyfrowana (tylko zakodowana). Ujawnia to łatwą dziurę w zabezpieczeniach, w której konsument (usługowy) może po prostu zmodyfikować "roszczenia" do części JWT i ponownie wysłać to samo z większą liczbą ról (do których klient/konsument nie ma uprawnień).

Jeśli moje zrozumienie/założenie jest nieprawidłowe, w jaki sposób osiągamy cel, na który jestem nastawiony?

Answer 1

Podczas korzystania z JWS (header.claims.signature), częścią "JWT" ​​oświadczeń jest integralność chroniona przez podpis. Jeśli więc "roszczenia" lub jakakolwiek inna część JWT zostanie zmodyfikowana przez kogoś bez odpowiedniego klucza, weryfikacja podpisu na JWT nie powiedzie się, a token zostanie odrzucony.

Answer 2

Inną opcją jest wyszukiwanie użytkownika w bazie danych podczas uwierzytelniania, na podstawie identyfikatora użytkownika zawartego w tokenie, w celu zweryfikowania ról lub innych aspektów tożsamości nieuwzględnionych w JWT.

Jednak wszelkie informacje zawarte w JWT są weryfikowane za pomocą podpisu, jak wcześniej podano, więc możesz również polegać na tym, co jest w JWT, jeśli jest to wymagane.

Answer 3

Część JWT można zweryfikować, ale innym problemem przy dodawaniu czegoś takiego jak rola do claims jest przypadek, gdy zmieniasz role użytkowników, ale stary token nadal zawiera poprzednie role przypisane do użytkownika. Bądź więc ostrożny. Można po prostu zachować identyfikator użytkownika w tokenie i pobrać wszelkie inne informacje powiązane z użytkownikiem na podstawie mechanizmu trwałości (bazy danych lub cokolwiek innego).