Gettoni di sessione di grandi dimensioni

1. Qual è la differenza tra sessione e token?
2. Le sessioni sono migliori di JWT??
3. Come funzionano i token di sessione??
4. JWT può essere utilizzato per le sessioni??
5. Dove sono archiviati i token di sessione??
6. Che cos'è la sessione nell'API REST??
7. Quanto deve durare un token JWT??
8. Quanto può essere lungo un token JWT??
9. I token JWT dovrebbero scadere?
10. Dove sono archiviati i token di aggiornamento??
11. Come viene generato il token??
12. È sicuro memorizzare il token di accesso nei cookie??

Qual è la differenza tra sessione e token?

Tuttavia, vale la pena notare che l'autenticazione basata su token scala meglio di quella di una sessione perché i token sono archiviati sul lato client mentre la sessione utilizza la memoria del server, quindi potrebbe diventare un problema quando c'è un numero elevato di utenti che utilizzano il sistema subito.

Le sessioni sono migliori di JWT??

L'autenticazione basata su token utilizzando JWT è il metodo più consigliato nelle moderne app Web. Uno svantaggio di JWT è che la dimensione di JWT è molto più grande rispetto all'id di sessione memorizzato nel cookie perché JWT contiene più informazioni sull'utente.

Come funzionano i token di sessione??

I token di sessione servono per identificare la sessione di un utente all'interno del traffico HTTP scambiato tra l'applicazione e tutti i suoi utenti. Il traffico HTTP da solo è senza stato, il che significa che ogni richiesta viene elaborata in modo indipendente, anche se è correlata alla stessa sessione.

JWT può essere utilizzato per le sessioni??

Sebbene l'uso di JWT per OAuth sia ampiamente accettato, il suo utilizzo per l'autenticazione delle sessioni degli utenti è controverso (vedi questo post). In questo articolo, cercherò di fare un elenco completo dei pro e dei contro dell'utilizzo di JWT per questo contesto.

Dove sono archiviati i token di sessione??

Il token è memorizzato nella memoria locale o nella memoria di sessione sul lato client. Le richieste successive al server includeranno questo token, solitamente incorporato nell'intestazione nel formato bearer-JWT-token

Che cos'è la sessione nell'API REST??

Ogni chiamata API REST da parte di un client è associata a una sessione del servizio Web. Viene creata una sessione quando il client chiama l'API di accesso e rimane attiva fino al timeout o alla disconnessione. Quando viene creata la sessione, viene generato un ID di sessione che assomiglia a un GUID e ad esso assegnato dal server.

Quanto deve durare un token JWT??

Il token JWT ha una scadenza di 2 ore. Il token viene aggiornato ogni ora dal client. Se il token utente non viene aggiornato (l'utente è inattivo e l'app non è aperta) e scade, dovrà accedere ogni volta che vorrà riprendere.

Quanto può essere lungo un token JWT??

Ognuno di questi può essere lungo al massimo 8 KB, ma insieme possono essere più di 8 KB in totale. Le richieste contenenti una riga di richiesta o una riga di intestazione più lunga di 8 KB verranno eliminate dal router senza essere inviate.

I token JWT dovrebbero scadere?

Il token di accesso JWT è valido solo per un periodo di tempo limitato. L'utilizzo di un JWT scaduto causerà il fallimento delle operazioni.

Dove sono archiviati i token di aggiornamento??

Il token di accesso e il token di aggiornamento non devono essere archiviati nell'archiviazione locale/di sessione, perché non sono un luogo per dati sensibili. Quindi memorizzerei il token di accesso in un cookie httpOnly (anche se c'è CSRF) e ne ho comunque bisogno per la maggior parte delle mie richieste al Resource Server.

Come viene generato il token??

In Windows, un token di accesso è rappresentato dall'oggetto di sistema di tipo Token . Un token di accesso viene generato dal servizio di accesso quando un utente accede al sistema e le credenziali fornite dall'utente vengono autenticate rispetto al database di autenticazione.

È sicuro memorizzare il token di accesso nei cookie??

L'archiviazione locale è vulnerabile perché è facilmente accessibile tramite JavaScript e un utente malintenzionato può recuperare il token di accesso e utilizzarlo in un secondo momento. Tuttavia, sebbene i cookie httpOnly non siano accessibili utilizzando JavaScript, ciò non significa che utilizzando i cookie sei al sicuro dagli attacchi XSS che coinvolgono il tuo token di accesso.