Große Sitzungstoken

1. Was ist der Unterschied zwischen Sitzung und Token??
2. Sind Sitzungen besser als JWT?
3. Wie funktionieren Sitzungstoken??
4. Kann JWT für Sitzungen verwendet werden??
5. Wo werden Sitzungstoken gespeichert?
6. Was ist eine Sitzung in der REST-API??
7. Wie lange sollte ein JWT-Token dauern?
8. Wie lang kann ein JWT-Token sein??
9. Sollten JWT-Token ablaufen?
10. Wo werden Aktualisierungstoken gespeichert??
11. Wie wird Token generiert?
12. Ist es sicher, Zugriffstoken im Cookie zu speichern??

Was ist der Unterschied zwischen Sitzung und Token??

Es ist jedoch erwähnenswert, dass die tokenbasierte Authentifizierung besser skaliert als die einer Sitzung, da Token auf der Clientseite gespeichert werden, während die Sitzung den Serverspeicher nutzt. Dies kann zu einem Problem werden, wenn eine große Anzahl von Benutzern das System verwendet auf einmal.

Sind Sitzungen besser als JWT?

Die tokenbasierte Authentifizierung mit JWT ist die empfohlene Methode in modernen Webanwendungen. Ein Nachteil von JWT ist, dass die Größe von JWT im Vergleich zur im Cookie gespeicherten Sitzungs-ID viel größer ist, da JWT mehr Benutzerinformationen enthält.

Wie funktionieren Sitzungstoken??

Sitzungstoken dienen dazu, die Sitzung eines Benutzers innerhalb des HTTP-Datenverkehrs zu identifizieren, der zwischen der Anwendung und allen ihren Benutzern ausgetauscht wird. HTTP-Traffic allein ist zustandslos, d. h. jede Anfrage wird unabhängig verarbeitet, auch wenn sie sich auf dieselbe Sitzung bezieht.

Kann JWT für Sitzungen verwendet werden??

Während die Verwendung von JWTs für OAuth weithin akzeptiert wird, ist ihre Verwendung zur Authentifizierung von Benutzersitzungen umstritten (siehe diesen Beitrag). In diesem Artikel werde ich versuchen, eine umfassende Liste der Vor- und Nachteile der Verwendung von JWT für diesen Kontext zu erstellen.

Wo werden Sitzungstoken gespeichert?

Das Token wird auf der Client-Seite entweder im lokalen Speicher oder im Sitzungsspeicher gespeichert. Nachfolgende Anfragen an den Server enthalten dieses Token, das normalerweise im Header im Format bearer-JWT-token eingebettet ist

Was ist eine Sitzung in der REST-API??

Jeder REST-API-Aufruf durch einen Client ist einer Webservice-Sitzung zugeordnet. Eine Sitzung wird erstellt, wenn der Client die Login-API aufruft und bleibt aktiv, bis das Zeitlimit überschritten oder abgemeldet wird. Beim Erstellen der Sitzung wird eine Sitzungs-ID generiert, die wie eine GUID aussieht und ihr vom Server zugewiesen assigned.

Wie lange sollte ein JWT-Token dauern?

JWT Token hat einen Ablauf von 2 Stunden. Der Token wird stündlich vom Client aktualisiert. Wenn das Benutzertoken nicht aktualisiert wird (Benutzer ist inaktiv und die App ist nicht geöffnet) und abläuft, müssen sie sich jedes Mal anmelden, wenn sie fortfahren möchten.

Wie lang kann ein JWT-Token sein??

Jede davon darf maximal 8 KB lang sein, aber zusammen können sie insgesamt mehr als 8 KB groß sein. Anfragen, die eine Anfragezeile oder Kopfzeile enthalten, die länger als 8 KB ist, werden vom Router verworfen, ohne gesendet zu werden.

Sollten JWT-Token ablaufen?

Das JWT-Zugriffstoken ist nur für einen endlichen Zeitraum gültig. Die Verwendung eines abgelaufenen JWT führt dazu, dass Operationen fehlschlagen.

Wo werden Aktualisierungstoken gespeichert??

Zugriffstoken und Aktualisierungstoken sollten nicht im lokalen Speicher/Sitzungsspeicher gespeichert werden, da sie keinen Ort für sensible Daten sind. Daher würde ich das Zugriffstoken in einem httpOnly-Cookie speichern (obwohl es CSRF gibt) und ich brauche es sowieso für die meisten meiner Anfragen an den Ressourcenserver Resource.

Wie wird Token generiert?

In Windows wird ein Zugriffstoken durch das Systemobjekt vom Typ Token repräsentiert . Ein Zugriffstoken wird vom Anmeldedienst generiert, wenn sich ein Benutzer am System anmeldet und die vom Benutzer angegebenen Anmeldeinformationen gegenüber der Authentifizierungsdatenbank authentifiziert werden.

Ist es sicher, Zugriffstoken im Cookie zu speichern??

Der lokale Speicher ist anfällig, da er mit JavaScript leicht zugänglich ist und ein Angreifer Ihr Zugriffstoken abrufen und später verwenden kann. Obwohl auf httpOnly-Cookies mit JavaScript nicht zugegriffen werden kann, bedeutet dies jedoch nicht, dass Sie durch die Verwendung von Cookies vor XSS-Angriffen mit Ihrem Zugriffstoken sicher sind.