6

Хочу разобраться как правильно реализовать обновление jwt для web - приложения.

Путем гугления нашел ответ https://stackoverflow.com/questions/26739167/jwt-json-web-token-automatic-prolongation-of-expiration. Но как я понял там предлагают хранить в самом токене время, когда текущий токен нужно заблокировать и выдать новый. Т.е. получается, что если токен украдут, то его можно использовать до бесконечности т.к. при наличии токена и истечении времени обновления, выдается новый валидный токен. Или забиваем на проблему кражи токена, надеясь на HTTPS?

Еще натыкался на схему с jwt и refresh токеном, типа новый jwt можно получить только если предъявить refresh токен. В такой схеме я видел следующую ситуацию:

  1. Клиент делает запрос на сервер передавая уже просроченный jwt
  2. Сервер отдает 401/403
  3. Чтобы конечному пользователю не проходить аутентификацию снова, клиент ловит эту 401/403 ошибку и делает запрос на получение нового jwt предъявив refresh
  4. Сервер выдает новый jwt (и возможно плюс новый refresh токен еще) и клиент повторяет запрос №1 но уже с валидным jwt и все почти счастливы.

Для конечного пользователя такая схема, скорее всего, будет выглядеть долгой загрузкой страницы.

В итоге, как же правильно обновлять jwt, чтобы это было безопасно и конечный пользователь был доволен?

2
  • Изучите данную статью: gist.github.com/zmts/…
    – MoloF
    30 авг 2019 в 6:31
  • @artyom-norin, нашли правильный способ? Я тоже ищу сейчас ответ на этот вопрос, связанный с кражей токена.
    – mamadaliev
    11 янв 2020 в 23:09

2 ответа 2

1

Используйте refresh токен, но задайте интервал времени до протухания jwt в котором клиентское приложение должно запросить новый jwt заранее, не дожидаясь истечения его срока годности. Если же пользователь давно не заходил в приложение и токен таки протух - ну ничего, подождёт несколько долей секунды в виде исключения.

1

Т.е. получается, что если токен украдут, то его можно использовать до бесконечности т.к. при наличии токена и истечении времени обновления, выдается новый валидный токен.

Сам сейчас задумался над этой проблемой. Получается что даже в черный список мы не можем занести украденный обновленный токен, так как мы его по сути не знаем, он же нигде не хранится.

Как вариант в токене сохранять какой-то уникальный идентификатор цепочки токенов (token_id = 357) и при обновлении новый токен будет с тем же идентификатором (token_id = 357), получится вся цепочка с одним идентификатором. Если токен будет украден и обновлен, то настоящий юзер зайдя по старому токену, получит форму аутентификации, после успешной отправки логина и пароля мы сможем заблокировать цепочку токенов по уникальному идентификатору (token_id = 357). А юзеру выдать новый токен с новым идентификатором цепочки (token_id = 358)

1
  • Подтверждением валидности токена является его секрет, который в любой момент можно отозвать.
    – etki
    4 сен 2017 в 2:07

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.