Créer une session avec JWT

1. JWT peut-il être utilisé pour les sessions?
2. Comment utiliser JWT pour la gestion de session?
3. Qu'est-ce qu'une session JWT?
4. Pourquoi JWT est-il mauvais?
5. Dois-je utiliser des sessions ou JWT?
6. Quoi de mieux que JWT?
7. Quel est le meilleur passeport ou JWT?
8. JWT est-il identique à OAuth?
9. Est-ce que JWT suffit?
10. Le JWT est-il apatride?
11. Est-il correct de partager l'ID de session via l'URL?
12. JWT est-il stocké dans un cookie?

JWT peut-il être utilisé pour les sessions?

Alors que l'utilisation de JWT pour OAuth est largement acceptée, son utilisation pour authentifier les sessions des utilisateurs est controversée (voir ce post). Dans cet article, je vais tenter de dresser une liste complète des avantages et des inconvénients de l'utilisation de JWT dans ce contexte.

Comment utiliser JWT pour la gestion de session?

Si vous créez un site Web simple comme ceux décrits ci-dessus, votre meilleur pari est de vous en tenir à des sessions côté serveur ennuyeuses, simples et sécurisées. Au lieu de stocker un identifiant utilisateur à l'intérieur d'un JWT, puis de stocker un JWT à l'intérieur d'un cookie : il suffit de stocker l'identifiant utilisateur directement à l'intérieur du cookie et d'en finir avec lui.

Qu'est-ce qu'une session JWT?

La session représente les informations associées à un utilisateur particulier et est conçue pour persister tout au long de l'interaction de l'utilisateur avec l'application. C'est exactement ce que nous allons essayer de réaliser en utilisant JWT. Le jeton Web JSON sans état est un jeton autonome qui n'a besoin d'aucune représentation sur le backend.

Pourquoi JWT est-il mauvais?

Un JWT qui n'expire pas peut devenir un risque pour la sécurité. Vous avez également confiance que la signature du jeton ne peut pas être compromise. Cela peut se produire si vous utilisez un cryptage faible, un cryptage qui devient vulnérable à l'avenir ou si les clés privées sont compromises. Cette vulnérabilité n'existe pas avec les sessions.

Dois-je utiliser des sessions ou JWT?

L'authentification basée sur des jetons à l'aide de JWT est la méthode la plus recommandée dans les applications Web modernes. Un inconvénient avec JWT est que la taille de JWT est beaucoup plus grande par rapport à l'identifiant de session stocké dans le cookie car JWT contient plus d'informations sur l'utilisateur.

Quoi de mieux que JWT?

Pour les services locaux ou internes, nous utilisons un algorithme à clé symétrique. Mais contrairement à JWT, qui n'encode que la charge utile en base64 et signe le jeton, PASETO crypte et authentifie en fait toutes les données du jeton avec une clé secrète, à l'aide d'un algorithme de cryptage authentifié avec données associées (ou AEAD).

Quel est le meilleur passeport ou JWT?

La différence entre Passport et Passport-JWT est que Passport n'a pas de méthode particulière d'authentification, mais de nombreuses méthodes sont implémentées en utilisant passeport comme stratégies d'authentification alors que Passport-JWT est une stratégie qui utilise la méthode de jeton Web utilisant passeport pour l'authentification.

JWT est-il identique à OAuth?

JWT et OAuth2 sont totalement différents et servent à des fins différentes, mais ils sont compatibles et peuvent être utilisés ensemble. Le protocole OAuth2 ne spécifie pas le format des jetons, donc les JWT peuvent être incorporés dans l'utilisation d'OAuth2.

Est-ce que JWT suffit?

Les JWT sont parfaits lorsque vous voulez pouvoir déterminer en toute sécurité si un utilisateur a passé un appel spécifique sans avoir à valider par rapport à une sorte de magasin de session, mais cela signifie que si quelqu'un acquiert le jeton, il pourrait usurper l'identité de cet utilisateur même s'il s'était déjà déconnecté du système (ce qui contrecarre ...

Le JWT est-il apatride?

Les jetons Web JSON (JWT) sont appelés sans état car le serveur d'autorisation n'a besoin de conserver aucun état ; le jeton lui-même est tout ce qui est nécessaire pour vérifier l'autorisation d'un porteur de jeton. Les JWT sont signés à l'aide d'un algorithme de signature numérique (par ex.g. RSA) qui ne peut pas être falsifié.

Est-il correct de partager l'ID de session via l'URL?

(1) Oui, le partage d'un identifiant de session est acceptable, car il ne va qu'à l'utilisateur prévu. ... (3) Une application ne doit pas partager un identifiant de session via une URL.

JWT est-il stocké dans un cookie?

Maintenant que le JWT est dans un cookie, il sera automatiquement envoyé à l'API lors de tous les appels que nous lui ferons. Voici comment le navigateur se comporte par défaut. Mais encore une fois, nous devons avoir notre front end et notre backend servis sur la même origine pour que cela se produise.