Spring Security 6 ja JWT-todennus · Oppitunti

Lyhytkestoiset JWT-tokenit ja päivityssykli

Toteuta vankka järjestelmä, jossa käytetään lyhytkestoisia access tokeneita ja pidempikestoisia refresh tokeneita turvallisuuden parantamiseksi.

Oppitunti 1/412 vaihetta

Lyhytkestoiset JWT-tokenit ja päivityssykli on ilmainen Spring Security 6 ja JWT-todennus-oppitunti CoddyKitissä. Tämä on oppitunti 1/4. Voit lukea tästä oppimispolusta kokonaan mitkä tahansa 3 oppituntia ilmaiseksi — sen jälkeen CoddyKit PRO avaa kaikki oppitunnit sekä käytännön harjoittelun sisäänrakennetulla koodieditorilla ja ympäri vuorokauden toimivalla tekoälytuutorilla. Oppitunti kuuluu Spring Security 6 ja JWT-todennus-oppimispolkuun, ja edistymisesi synkronoituu verkon ja CoddyKit-sovelluksen välillä. Spring Security 6 ja JWT-todennus-kurssilla on yhteensä 4 oppituntia.

Lyhytkestoiset tunnisteet ja päivitys

Tervetuloa JWT-suojauksen edistyneeseen aiheeseen! Tutustumme siihen, miten todennusjärjestelmästä tehdään vankempi käyttämällä lyhytkestoisia käyttöoikeustunnisteita ja päivitystunnisteita.

Tämä strategia parantaa tietoturvaa merkittävästi pienentämällä aikaa, jonka hyökkääjä voi käyttää vaarantuneiden tunnisteiden hyödyntämiseen.

Miksi käyttää lyhytkestoisia käyttöoikeustunnisteita?

Käyttöoikeustunniste on kuin avain sovelluksen resursseihin. Jos hyökkääjä saa haltuunsa pitkäkestoisen käyttöoikeustunnisteen, hän voi esiintyä käyttäjänä pitkän aikaa.

Pienempi riski: Lyhyempi voimassaoloaika antaa vähemmän aikaa vaarantuneen tunnisteen väärinkäyttöön.
Nopeampi mitätöinti: Vaikka tunniste vaarantuisi, sen voimassaoloaika on hyvin lyhyt.
Parantunut tietoturva: Tiheä uudelleentodennus päivitystunnisteiden avulla voi havaita vaarantuneet istunnot aiemmin.

Päivitystunnisteiden esittely

Koska käyttöoikeustunnisteet ovat lyhytkestoisia, käyttäjien pitäisi kirjautua jatkuvasti uudelleen. Tässä päivitystunnisteet refresh tokens tulevat avuksi!

Päivitystunniste on pitkäkestoinen tunnistetieto, jolla voi hankkia uuden lyhytkestoisen käyttöoikeustunnisteen ilman, että käyttäjän tarvitsee syöttää tunnistetietojaan uudelleen. Ne toimivat pitkäaikaisina avaimina lyhytaikaisten avainten myöntämiseen uudelleen.

Päivitystunnisteen kierto

Tyypillinen kulku toimii näin:

Käyttäjä kirjautuu sisään tunnistetiedoillaan.
Palvelin todentaa käyttäjän ja myöntää molemmat: lyhytkestoisen käyttöoikeustunnisteen ja pitkäkestoisen päivitystunnisteen.
Asiakas käyttää käyttöoikeustunnistetta API-kutsuihin.
Kun käyttöoikeustunniste vanhenee, asiakas lähettää päivitystunnisteen erityiseen päätepisteeseen.
Palvelin vahvistaa päivitystunnisteen ja myöntää uuden käyttöoikeustunnisteen (ja usein myös uuden päivitystunnisteen kierrätystä varten).

Tunnisteen vanhenemisen simulointi

Kuvitellaan yksinkertainen token, jolla on hyvin lyhyt voimassaoloaika. Oikeassa sovelluksessa Spring Security huolehtii suuresta osasta tästä, mutta käsitteen ymmärtäminen on olennaista.

Tämä Java-koodikatkelma näyttää, miten tokenin voimassaolo voidaan tarkistaa vanhenemisajan perusteella.

import java.time.Instant;
import java.time.temporal.ChronoUnit;

public class TokenChecker {
  public static void main(String[] args) {
    // Simulate a token issued now, expiring in 5 seconds
    Instant issuedAt = Instant.now();
    Instant expiresAt = issuedAt.plus(5, ChronoUnit.SECONDS);

    System.out.println("Token issued: " + issuedAt);
    System.out.println("Token expires: " + expiresAt);

    // After some time, check if token is valid
    Instant currentTime = Instant.now().plus(7, ChronoUnit.SECONDS);
    if (currentTime.isAfter(expiresAt)) {
      System.out.println("Token is expired at: " + currentTime);
    } else {
      System.out.println("Token is still valid.");
    }
  }
}

Virkistystokenien luominen

Toisin kuin käyttötokenit (jotka ovat usein JWT-tokeneita), virkistystokenit ovat yleensä läpinäkymättömiä merkkijonoja. Ne eivät sisällä käyttäjän tietoja suoraan.

Virkistystokenia luodessaan palvelin:

luo kryptografisesti vahvan satunnaisen merkkijonon.
liittää sen käyttäjätunnukseen ja vanhenemispäivään turvallisessa tietovarastossa (esimerkiksi tietokannassa tai Redisissä).
asettaa sille huomattavasti pidemmän voimassaoloajan (esimerkiksi päiviä, viikkoja tai kuukausia).

Turvallinen palvelinpuolen tallennus

Virkistystokenien ei pitäisi koskaan olla itse JWT-tokeneita (ellei niitä ole salattu ja hallittu huolellisesti), ja ne pitäisi aina tallentaa turvallisesti palvelinpuolelle.

Tämä mahdollistaa helpon mitätöinnin ja estää asiakaspuolen manipuloinnin. Yleisiä tallennusvaihtoehtoja ovat:

Tietokanta: Tallenna token, käyttäjätunnus, vanhenemisaika ja mahdollisesti muita metatietoja.
Redis: Erinomainen vaihtoehto suorituskykyiseen tallennukseen ja nopeisiin hakuihin, erityisesti vanhenemisominaisuuksien ansiosta.

Asiakaspuolen käsittely

Asiakaspuolella (esimerkiksi verkkoselaimessa tai mobiilisovelluksessa) molemmat tokenit on tallennettava turvallisesti:

Käyttötoken: Tallennetaan muistiin tai paikalliseen tallennustilaan (varoen), ja lähetetään jokaisen API-pyynnön mukana.
Virkistystoken: Tallennetaan turvallisempaan paikkaan, kuten HttpOnly-evästeeseen (verkossa) tai suojattuun tallennustilaan (mobiilisovelluksissa).

Asiakkaan tehtävänä on havaita vanhentunut käyttötoken ja käynnistää virkistysprosessi.

Virkistystokenin päätepiste (käsite)

Spring Boot -sovelluksesi tarjoaisi virkistyspyyntöjen käsittelyä varten tietyn päätepisteen, yleensä /api/auth/refresh.

Kun tähän päätepisteeseen saapuu pyyntö kelvollisen virkistystokenin kanssa, palvelin:

tarkistaa virkistystokenin (olemassaolon, vanhenemisen ja yhteyden käyttäjään).
luo kelvollisen tokenin tapauksessa uuden käyttötokenin (ja haluttaessa uuden virkistystokenin).
palauttaa uudet tokenit asiakkaalle.

Virkistysprosessin hyödyt ja turvallisuus

Virkistysprosessin käyttöönotto tuo merkittäviä turvallisuushyötyjä:

Tehostettu mitätöinti: Voit mitätöidä virkistystokenin palvelimella välittömästi, jolloin kaikki tulevat käyttötokenipyynnöt mitätöityvät.
Tokenien kierrätys: Uuden virkistystokenin myöntäminen jokaisen virkistyspyynnön yhteydessä (ja vanhan mitätöiminen) lisää turvallisuutta.
Pienempi altistumisriski: Pitkäikäisiä tunnistetietoja (virkistystokeneita) käytetään harvemmin ja yleensä turvallisempien yhteyksien kautta.

Testaa ymmärryksesi

Mitkä seuraavista ovat lyhytikäisen käyttötokenin ja virkistystokenin muodostaman prosessin keskeisiä hyötyjä?

Vastaa interaktiivisessa oppitunnissa

Kertaus: lyhytikäiset JWT-tokenit ja virkistys

Hienoa työtä! Tässä oppitunnissa tutustuimme keskeiseen käsitteeseen, jossa lyhytikäisiä käyttötokeneita käytetään yhdessä pitkäikäisten virkistystokenien kanssa turvallisemman todennusjärjestelmän rakentamiseksi.

Lyhytikäiset käyttötokenit rajoittavat vaarantuneiden tunnistetietojen aiheuttamaa altistumista.
Virkistystokenien avulla käyttäjät voivat hankkia uusia käyttötokeneita todentamatta itseään uudelleen.
Tämä prosessi parantaa turvallisuutta parempien mitätöintimahdollisuuksien ja pienemmän riskin ansiosta.

Tämän mallin hallitseminen on olennaista vankkojen ja tuotantokäyttöön valmiiden sovellusten kannalta.

Aloita maksutta

Opi Java tekoälytuutorin avulla — ilmaiseksi

Kirjoita ja suorita oikeaa koodia selaimessa, saa välitöntä apua tekoälytuutorilta ympäri vuorokauden ja jatka siitä, mihin jäit, verkossa tai sovelluksessa.

Kurssit: 12
Oppitunnit: 48

Aloita opiskelu maksutta Näytä koko kurssi

Usein kysytyt kysymykset

Onko oppitunti ”Lyhytkestoiset JWT-tokenit ja päivityssykli” ilmainen?

Kyllä — voit lukea täällä verkossa kokonaan ilmaiseksi mitkä tahansa Spring Security 6 ja JWT-todennus-oppimispolun 3 oppituntia, myös oppitunnin “Lyhytkestoiset JWT-tokenit ja päivityssykli”. Sen jälkeen CoddyKit PRO avaa kaikki oppitunnit sekä interaktiiviset harjoitukset sisäänrakennetulla koodieditorilla ja ympäri vuorokauden toimivalla tekoälytuutorilla. Spring Security 6 ja JWT-todennus-kurssilla on yhteensä 4 oppituntia.

Mitä opin oppitunnilla ”Lyhytkestoiset JWT-tokenit ja päivityssykli”?

Toteuta vankka järjestelmä, jossa käytetään lyhytkestoisia access tokeneita ja pidempikestoisia refresh tokeneita turvallisuuden parantamiseksi. Harjoittelet Spring Security 6 ja JWT-todennus-aihetta koodilla, jonka suoritat suoraan selaimessa. Ympäri vuorokauden käytettävissä oleva tekoälytuutori vastaa kysymyksiisi oppitunnin aikana.

Tarvitsenko kokemusta aloittaakseni Spring Security 6 ja JWT-todennus-opiskelun?

Aiempi kokemus ei ole tarpeen. CoddyKitin Spring Security 6 ja JWT-todennus-oppimispolku sopii vasta-alkajista edistyneisiin, joten voit aloittaa tästä tai alusta ja edetä omaan tahtiisi. Tämä on oppitunti 1/4.

Kuinka kauan ”Lyhytkestoiset JWT-tokenit ja päivityssykli”-oppitunnin suorittaminen kestää?

Useimmat CoddyKitin oppitunnit kestävät noin 5–10 minuuttia. Jokainen oppitunti on lyhyt ja interaktiivinen, joten edistyt tasaisesti ja voit jatkaa siitä, mihin jäit – sekä verkossa että sovelluksessa.

Voinko kirjoittaa ja suorittaa koodia tällä Spring Security 6 ja JWT-todennus-oppitunnilla?

Kyllä. Jokainen Spring Security 6 ja JWT-todennus-oppitunti sisältää sisäänrakennetun koodieditorin, joten voit kirjoittaa ja suorittaa oikeaa koodia suoraan selaimessa ja saada välitöntä palautetta tekoälyltä – paikallista asennusta ei tarvita.

Kaikki tämän kurssin oppitunnit

Lyhytkestoiset JWT-tokenit ja päivityssykli
JWT-tokenien mustat ja valkoiset listat
JWT:n suorituskykynäkökohdat
Tokenien vahvistuksen välimuistitus skaalautuvuutta varten

← Takaisin: Spring Security 6 ja JWT-todennus