JWT yenileme belirteci akışı

Bir mobil uygulama oluşturuyorum ve kimlik doğrulama için JWT kullanıyorum.

Bunu yapmanın en iyi yolu, erişim belirtecini istediğim sıklıkta sona erdirebilmem için JWT erişim belirtecini bir yenileme belirteciyle eşleştirmek gibi görünüyor.

1. Yenileme belirteci neye benzer? Rastgele bir dizge mi? Bu dizi şifreli mi? Başka bir JWT mi?
2. Yenileme belirteci, erişim için kullanıcı modelindeki veritabanında saklanacak, doğru mu? Bu durumda şifrelenmesi gerekiyor gibi görünüyor
3. Bir kullanıcı oturum açtıktan sonra yenileme belirtecini geri gönderir miyim ve ardından istemcinin bir erişim belirtecini almak için ayrı bir yola erişmesini sağlar mıydım?

JWT'ler ve yenileme jetonları ile ilgili olduğu için bunun OAuth 2.0 ile ilgili olduğunu varsayarsak ...:

1. tıpkı bir erişim belirteci gibi, prensipte bir yenileme belirteci, tanımladığınız tüm seçenekleri içeren herhangi bir şey olabilir; Yetkilendirme Sunucusu vatansız olmak istediğinde veya onu sunan istemciye bir tür "sahiplik kanıtı" semantiğini zorlamak istediğinde bir JWT kullanılabilir; Bir yenileme belirtecinin, bir Kaynak Sunucusuna değil, yalnızca onu ilk başta veren Yetkilendirme Sunucusuna sunulması açısından erişim belirtecinden farklı olduğunu unutmayın; bu nedenle, erişim olarak JWT'ler için kendi kendine yeten doğrulama optimizasyonu yenileme jetonları için tutulmaz

2. bu, veritabanının güvenliğine / erişimine bağlıdır; Veritabanına diğer taraflar / sunucular / uygulamalar / kullanıcılar tarafından erişilebiliyorsa, evet (ancak kilometreniz, şifreleme anahtarını nerede ve nasıl sakladığınıza göre değişebilir ...)

3. Yetkilendirme Sunucusu, istemcinin bunları elde etmek için kullandığı hibe bağlı olarak aynı anda hem erişim jetonlarını hem de yenileme jetonlarını verebilir; şartname, standartlaştırılmış hibelerin her birine ilişkin ayrıntıları ve seçenekleri içerir

JWT erişim jetonunuzu iptal etmek için yapmanız gerekenler aşağıda verilmiştir:

1. Oturum açtığınızda, istemciye yanıt olarak 2 belirteç (Erişim belirteci, Yenileme belirteci) gönderin.
2. Erişim belirtecinin sona erme süresi daha az olacak ve Yenileme daha uzun süre geçecek.
3. İstemci (Ön uç), yenileme belirtecini yerel deposunda ve erişim belirtecini tanımlama bilgilerinde saklayacaktır.
4. İstemci, API'leri çağırmak için bir erişim belirteci kullanacaktır. Ancak süresi dolduğunda, yerel depolamadan yenileme jetonunu seçin ve yeni jetonu almak için kimlik doğrulama sunucusu API'sini çağırın.
5. Yetkilendirme sunucunuz, yenileme belirtecini kabul edecek, geçerliliğini kontrol edecek ve yeni bir erişim belirteci döndürecek bir API'ye sahip olacaktır.
6. Yenileme belirtecinin süresi dolduğunda, Kullanıcı oturumu kapatılacaktır.

Daha fazla ayrıntıya ihtiyacınız olursa lütfen bize bildirin, kodu (Java + Spring boot) da paylaşabilirim.

Sorularınız için:

S1: Bu, daha az hak talebinde bulunulan ve uzun vade süresine sahip başka bir JWT.

S2: Bir veritabanında olmayacak. Arka uç hiçbir yerde saklanmayacaktır. Jetonun şifresini özel / genel anahtarla çözecekler ve ayrıca sona erme süresiyle de doğrulayacaklar.

S3: Evet, Doğru

Yenileme belirteci ile JWT'nin Node.js ile bu uygulamaya göre :

1) Bu durumda bir uid kullanırlar ve bu bir JWT değildir. Jetonu yenilediklerinde, yenileme jetonunu ve kullanıcıyı gönderir. Bunu bir JWT olarak uygularsanız, kullanıcıyı göndermenize gerek yoktur çünkü JWT'nin içinde olacaktır.

2) Bunu ayrı bir belgede (tablo) uygularlar. Benim için mantıklı çünkü bir kullanıcı farklı istemci uygulamalarında oturum açabilir ve uygulama tarafından bir yenileme belirtecine sahip olabilir. Kullanıcı, bir uygulamanın yüklü olduğu bir cihazı kaybederse, bu cihazın yenileme simgesi, oturum açmış diğer cihazları etkilemeden geçersiz kılınabilir.

3) Bu uygulamada oturum açma yöntemine hem erişim belirteci hem de yenileme belirteci ile yanıt verir. Bana doğru geliyor.