Json Web Token + User Authentication

Question

Я только что применил Json Web Tokens к моему api, но я не понимаю, как проверить, является ли пользователь, создавший токен, тем, который делает запрос.

Например, у меня есть конечная точка/user/login, и я получил имя пользователя и пароль для входа. Затем я создаю текстовый токен json с внутренними данными пользователя и возвращаю его. И вот моя проблема, откуда я знаю, что пользователь, создающий этот токен, является тем, кто делает запрос?.

Я нашел несколько способов проверить это, например, сохранить user-agent + ip пользователя и только принять запрос для этого токена, если user-agent + ip is xxx, но я не уверен, что это лучший способ.

Я надеюсь, что вы можете мне помочь с некоторыми советами,

Спасибо за все

Answer 1

какой-либо причине вы не можете использовать стандарт как oauth2 и пусть большие мальчики справиться безопасность для вас? Роллинг вашей собственной безопасности обычно очень сложно получить правильно, и почти все основные игроки предоставляют бесплатную поддержку OATH.

Это говорит о том, что я не решаюсь вести вас по плохой дороге, однако я был на вашем месте раньше, поэтому, если вы должны бросить свою собственную безопасность, убедитесь, что вы полностью прочитали все, что может предложить OWASP , Они предлагают очень подробный анализ угроз, а также дают предложения, которые будут неоценимы в ходе вашего путешествия.

OWASP Threat Analysis

EDIT 1

Хороший легкий вес и легко реализовать стандарт является OpenID, который, как объясняет их баннер,

Простой Идентичность слой поверх OAuth 2.0

См. Здесь за очень подробное объяснение того, как это работает: OpenID-Wiki

Answer 2

как я знаю, что пользователь, создать этот маркер, это тот, который делает запрос?.

Поскольку JWT включает в себя идентификатор пользователя и подписан, поэтому любые изменения в содержимом будут обнаружены.Обладание знака является доказательством подлинности

Процесс выдачи и аутентификации с JWT, более или менее, как этот

выпуском нового JWT

1. выполняет и аутентификацию пользователя с помощью своих учетных данных

2. Сервер проверяет учетные данные, генерирует полезную нагрузку JWT, включая данные пользователя, и некоторые поля, такие как истечение ti меня или эмитента, и подписывает токен с закрытым ключом сервера

3. Клиент получает токен и сохраняет его (в защищенном хранилище).

Authentication

1. Пользователь отправляет запрос на сервер. Запрос включает JWT, обычно в заголовках или как url ​​param

2. Сервер проверяет подпись ключом и извлекает идентификатор пользователя, чтобы узнать запрашивающего. Если подпись недействительна, отклоняет запрос