Keselamatan Spring dan Pengesahan JWT · Pelajaran

Strategi Pembatalan Token JWT

Terokai kaedah untuk membatalkan JWT yang terjejas atau telah dilog keluar, seperti penyenaraihitaman dan token berjangka hayat pendek.

Pelajaran 2 daripada 411 langkah

Strategi Pembatalan Token JWT ialah pelajaran Keselamatan Spring dan Pengesahan JWT percuma di CoddyKit. Ini ialah pelajaran 2 daripada 4. Sebanyak 3 pelajaran dalam laluan pembelajaran ini boleh dibaca sepenuhnya secara percuma — selepas itu, CoddyKit PRO membuka akses kepada semua pelajaran, serta latihan praktikal dengan penyunting kod terbina dalam dan tutor kecerdasan buatan yang tersedia 24/7. Pelajaran ini merupakan sebahagian daripada laluan pembelajaran Keselamatan Spring dan Pengesahan JWT, dan kemajuan anda disegerakkan merentas web serta aplikasi CoddyKit. Kursus Keselamatan Spring dan Pengesahan JWT merangkumi sejumlah 4 pelajaran.

Mengapa Membatalkan JWT?

Token Web JSON (JWT) direka bentuk tanpa keadaan, bermakna pelayan tidak perlu menyimpan maklumat sesi. Walaupun hal ini memberikan kebolehskalaan yang baik, ia menimbulkan cabaran: bagaimanakah token boleh dibatalkan sebelum tamat tempoh semula jadinya?

Kita memerlukan pembatalan untuk senario seperti:

Pengguna log keluar
Token terjejas (contohnya token dicuri)
Perubahan peranan pengguna atau pelumpuhan akaun

Cabaran Tanpa Keadaan

Prinsip utama JWT ialah selepas dikeluarkan dan ditandatangani, token boleh disahkan tanpa perlu membuat pertanyaan kepada pangkalan data atau perkhidmatan luaran. Ini bermakna pelayan tidak semestinya mengetahui sama ada token telah dibatalkan secara logik.

Untuk membatalkan JWT, anda mesti memperkenalkan mekanisme yang memperkenalkan semula suatu bentuk keadaan, supaya pelayan boleh menyemak sama ada token masih dianggap sah.

Strategi 1: Token Berjangka Hayat Pendek

Pertahanan paling mudah dan paling asas terhadap JWT yang terjejas ialah menjadikannya berjangka hayat pendek. Jika token akses tamat tempoh dengan cepat (contohnya, dalam 5–15 minit), peluang penyerang menggunakan token yang dicuri dapat diminimumkan.

Strategi ini sering digabungkan dengan Token Penyegaran (yang dibincangkan dalam pelajaran lain) untuk memberikan pengalaman pengguna yang lancar tanpa memerlukan log masuk semula dengan kerap.

Strategi 2: Menyenarai Hitam Token

Untuk mencapai pembatalan serta-merta, strategi yang biasa digunakan ialah penyenaraian hitam. Senarai hitam ialah storan seperti jadual pangkalan data atau cache berkelajuan tinggi seperti Redis yang menyimpan pengecam unik (tuntutan JTI) bagi token yang telah dibatalkan secara jelas.

Apabila pelayan menerima JWT, pelayan terlebih dahulu menyemak sama ada JTI token itu terdapat dalam senarai hitam. Jika ya, token tersebut ditolak walaupun belum tamat tempoh.

Melaksanakan Senarai Hitam

Untuk menghasilkan senarai hitam yang berkesan:

ID unik: Pastikan setiap JWT mempunyai tuntutan JTI yang unik.
Storan: Gunakan storan yang pantas dan berterusan (contohnya, Redis atau jadual pangkalan data) untuk menyimpan JTI yang disenarai hitam.
Pemeriksaan: Setiap kali JWT dihantar, sahkan tandatangannya, kemudian semak sama ada JTI-nya terdapat dalam senarai hitam.
Tamat tempoh: Token yang disenarai hitam masih hendaklah mematuhi tempoh tamatnya. Entri senarai hitam itu sendiri juga boleh mempunyai TTL (Masa untuk Hidup) yang sepadan dengan tempoh tamat asal token, bagi mengelakkan senarai tersebut berkembang tanpa had.

Mensimulasikan Senarai Hitam

Mari kita lihat contoh Java yang mudah untuk memahami konsep penyenaraian hitam. Kita akan mensimulasikan ID unik token dan senarai hitam dalam memori. Dalam aplikasi sebenar, senarai hitam akan menjadi storan berterusan dan teragih seperti Redis.

Senarai Hitam Beraksi

Kod ini menunjukkan cara ID token boleh ditambah kepada senarai hitam secara konsep, kemudian diperiksa untuk pembatalan. Jalankannya untuk melihat output.

import java.util.HashSet;
import java.util.Set;
import java.util.UUID;

public class Main {
    private static Set<String> revokedTokens = new HashSet<>();

    public static void main(String[] args) {
        String userTokenId = UUID.randomUUID().toString();
        System.out.println("User token ID: " + userTokenId);

        // Simulate token validation
        if (!isTokenRevoked(userTokenId)) {
            System.out.println("Token is valid (not revoked).");
        } else {
            System.out.println("Token is revoked!");
        }

        // User logs out or token is compromised
        revokeToken(userTokenId);
        System.out.println("\n--- Token has been revoked ---");

        // Try to validate again
        if (!isTokenRevoked(userTokenId)) {
            System.out.println("Token is valid (not revoked).");
        } else {
            System.out.println("Token is revoked!");
        }
    }

    public static void revokeToken(String tokenId) {
        revokedTokens.add(tokenId);
    }

    public static boolean isTokenRevoked(String tokenId) {
        return revokedTokens.contains(tokenId);
    }
}

Strategi 3: Menyenarai Putih

Alternatifnya, walaupun kurang biasa untuk JWT mentah, ialah penyenaraian putih. Daripada menyenaraikan token yang tidak sah, anda mengekalkan senarai semua token atau ID sesi yang sah pada masa ini.

Apabila permintaan diterima, anda menyemak sama ada token atau ID sesi itu terdapat dalam 'senarai dibenarkan' ini. Jika tidak terdapat, token atau ID tersebut dianggap tidak sah. Pendekatan ini lebih lazim untuk pengurusan sesi tradisional tetapi boleh disesuaikan.

Setiap sesi aktif mendapat ID unik.
Simpan ID yang sah ini dalam pangkalan data atau cache.
Apabila pengguna log keluar, keluarkan ID tersebut daripada senarai putih.

Membandingkan Strategi

Setiap strategi mempunyai kegunaannya:

Token Berjangka Hayat Pendek: Penting untuk meminimumkan risiko. Sentiasa gabungkan dengan strategi lain.
Penyenaraian Hitam: Paling sesuai untuk pembatalan khusus dan serta-merta (contohnya, log keluar atau token terjejas). Strategi ini memperkenalkan pemeriksaan keadaan bagi setiap permintaan.
Penyenaraian Putih: Berguna apabila anda perlu mengurus set sesi aktif yang terhad dan membatalkan banyak sesi serentak (contohnya, apabila pengguna dilumpuhkan atau semua sesi dibatalkan). Strategi ini memerlukan keadaan untuk semua token, yang boleh menimbulkan pertimbangan prestasi bagi API dengan trafik yang sangat tinggi.

Semakan Strategi Pembatalan

Antara berikut, yang manakah merupakan strategi yang sah atau pertimbangan penting untuk membatalkan Token Web JSON (JWT) sebelum tamat tempoh semula jadinya?

Jawab dalam pelajaran interaktif

Ringkasan Pelajaran

Dalam pelajaran ini, kita meneroka cara menangani cabaran membatalkan JWT tanpa keadaan. Kita belajar bahawa walaupun JWT direka bentuk tanpa keadaan, senario seperti pengguna log keluar atau token terjejas memerlukan token tersebut dibatalkan.

Strategi utama termasuk:

Menggunakan token berjangka hayat pendek untuk meminimumkan risiko.
Melaksanakan senarai hitam untuk menandakan token tertentu sebagai tidak sah menggunakan JTI masing-masing.
Mempertimbangkan senarai putih untuk mengurus sesi aktif, walaupun pendekatan ini kurang biasa bagi JWT mentah.

Penyelesaian yang paling kukuh biasanya menggabungkan tempoh tamat yang singkat dengan mekanisme senarai hitam untuk keperluan pembatalan segera.

Percuma untuk bermula

Pelajari Java dengan tutor kecerdasan buatan — percuma

Tulis dan jalankan kod sebenar dalam pelayar anda, dapatkan bantuan segera daripada tutor kecerdasan buatan yang tersedia 24/7, dan sambung semula dari tempat anda berhenti di web atau dalam aplikasi.

Kursus: 12
Pelajaran: 48

Mula belajar secara percuma Lihat kursus penuh

Soalan Lazim

Adakah pelajaran “Strategi Pembatalan Token JWT” percuma?

Ya — sebanyak 3 pelajaran dalam laluan pembelajaran Keselamatan Spring dan Pengesahan JWT, termasuk “Strategi Pembatalan Token JWT”, boleh dibaca sepenuhnya secara percuma di web ini. Selepas itu, CoddyKit PRO membuka akses kepada semua pelajaran, serta latihan interaktif dengan penyunting kod terbina dalam dan tutor kecerdasan buatan yang tersedia 24/7. Kursus Keselamatan Spring dan Pengesahan JWT merangkumi sejumlah 4 pelajaran.

Apakah yang akan saya pelajari dalam “Strategi Pembatalan Token JWT”?

Terokai kaedah untuk membatalkan JWT yang terjejas atau telah dilog keluar, seperti penyenaraihitaman dan token berjangka hayat pendek. Anda berlatih Keselamatan Spring dan Pengesahan JWT menggunakan kod praktikal yang dijalankan terus dalam pelayar, manakala tutor kecerdasan buatan 24/7 menjawab soalan anda semasa anda mengikuti pelajaran.

Adakah saya memerlukan pengalaman untuk memulakan Keselamatan Spring dan Pengesahan JWT?

Tiada pengalaman terdahulu diperlukan. Pembelajaran Keselamatan Spring dan Pengesahan JWT di CoddyKit disusun untuk pelajar daripada peringkat pemula hingga lanjutan, jadi anda boleh bermula di sini atau dari awal dan belajar mengikut kadar anda sendiri. Ini ialah pelajaran 2 daripada 4.

Berapa lamakah pelajaran “Strategi Pembatalan Token JWT” diambil?

Kebanyakan pelajaran CoddyKit mengambil masa kira-kira 5–10 minit. Setiap pelajaran ringkas dan interaktif, jadi anda boleh membuat kemajuan secara berterusan dan menyambung tepat dari tempat anda berhenti di web atau aplikasi.

Bolehkah saya menulis dan menjalankan kod dalam pelajaran Keselamatan Spring dan Pengesahan JWT ini?

Ya. Setiap pelajaran Keselamatan Spring dan Pengesahan JWT menyertakan penyunting kod terbina dalam, jadi anda boleh menulis dan menjalankan kod sebenar terus dalam pelayar serta menerima maklum balas kecerdasan buatan serta-merta — tanpa memerlukan persediaan setempat.

Semua pelajaran dalam kursus ini

Melaksanakan Token Penyegaran
Strategi Pembatalan Token JWT
Amalan Penyimpanan Token yang Selamat
Menukar Kunci Tandatangan dan Mengurus Kunci

← Kembali ke Keselamatan Spring dan Pengesahan JWT