Amalan Terbaik Pelaksanaan JWT Selamat

Keselamatan JWT bergantung sepenuhnya pada pelaksanaannya. Spesifikasi ini fleksibel; fleksibiliti mewujudkan kerentanan. Ikuti amalan terbaik ini untuk mengelakkan perangkap umum yang telah menyebabkan pintasan pengesahan dalam sistem pengeluaran.

Sentiasa tentukan algoritma yang dijangkakan secara khusus: jwt.decode(token, key, algorithms=["RS256"]). Jangan sekali-kali membaca algoritma daripada pengepala token untuk memilih kunci pengesahan atau laluan kod. Ini mencegah serangan alg=none dan kekeliruan kunci.

Token akses: 15-60 minit. Token penyegaran: 7-30 hari, disimpan dalam kuki httpOnly (bukan localStorage). Apabila tamat tempoh, klien menggunakan token penyegaran untuk mendapatkan token akses baharu daripada pelayan pengesahan tanpa pengesahan semula.

Sahkan aud (khalayak) untuk memastikan token dikeluarkan untuk perkhidmatan anda, bukan perkhidmatan lain. Sahkan iss (penerbit) terhadap URL pelayan pengesahan anda. Tanpa semakan ini, token daripada aplikasi lain yang ditandatangani dengan kunci sama akan diterima.

Token akses dalam memori (pemboleh ubah JS) — dipadamkan apabila tab ditutup. Token penyegaran dalam kuki httpOnly, Secure, SameSite=Strict — tidak boleh dicapai oleh JavaScript. Jangan sekali-kali simpan JWT dalam localStorage — XSS boleh mencurinya.

JWT bersifat tanpa keadaan — tiada pencabutan terbina dalam. Pilihan: kekalkan senarai pencabutan (senarai penafian) yang disemak pada setiap permintaan; gunakan tempoh luput yang sangat singkat; gunakan token legap dengan carian berpusat untuk konteks keselamatan tinggi.

Putar kunci tandatangan secara berkala. Terbitkan berbilang kunci dalam JWKS dengan nilai kid yang berbeza. Semasa putaran: terbitkan token baharu dengan kid baharu, kekalkan kunci lama aktif sehingga token lama tamat tempoh, kemudian alih keluar kunci lama daripada JWKS.

Jangan sekali-kali letakkan data sensitif (kata laluan, nombor keselamatan sosial, kad kredit) dalam muatan JWT — ia dikodkan dalam base64url, bukan disulitkan. Gunakan JWE (JSON Web Encryption) jika anda memerlukan tuntutan yang disulitkan, atau simpan data sensitif di sisi pelayan.

Hantar JWT hanya melalui HTTPS. JWT yang dipintas melalui HTTP memberikan pintasan pengesahan sepenuhnya. Tetapkan bendera Secure pada kuki. Gunakan HSTS untuk menghalang penurunan taraf protokol. Jangan sekali-kali catat rentetan JWT penuh dalam log pelayan.

Gunakan pustaka yang diselenggara dengan baik: PyJWT 2+, python-jose, auth0/node-jsonwebtoken 9+, Nimbus JOSE + JWT (Java). Elakkan melaksanakan pengesahan JWT dari awal. Semak pangkalan data CVE secara berkala untuk mengetahui kerentanan pustaka.

Uji semua vektor serangan: hantar token alg=none, token kekeliruan RS256→HS256, token tamat tempoh, token dengan khalayak yang salah, dan muatan yang diubah suai. Gunakan jwt.io untuk mencipta token ujian. Tambahkan ujian integrasi yang menegaskan token-token ini ditolak dengan 401.

Penggunaan JWT yang selamat memerlukan algoritma yang ditetapkan, tempoh luput token akses yang singkat, penyimpanan token penyegaran dalam kuki httpOnly, pengesahan khalayak/penerbit dan putaran kunci. Seterusnya: skim perkongsian rahsia kriptografi.