Najlepsze praktyki unieważniania JWT podczas zmiany haseł i wylogowania w węźle.js? [zamknięte]

Nie znam sposobu na arbitralne unieważnienie tokena bez angażowania bazy danych w taki czy inny sposób.

Uważaj z Approach 2, jeśli Twoja usługa jest dostępna na kilku urządzeniach. Rozważ następujący scenariusz...

• użytkownik loguje się za pomocą iPada, Token 1 wydany i przechowywany.
• użytkownik loguje się na stronie. Token 2 wydany. Użytkownik wylogowuje się.
• użytkownik próbuje korzystać z iPada, Token 1 został wydany przed wylogowaniem się użytkownika ze strony, Token 1 teraz uznany za nieważny.

Warto przyjrzeć się idei odświeżania tokenów, chociaż wymagają one również przechowywania bazy danych.

Zobacz także tutaj dla dobrej dyskusji dotyczącej podobnego problemu, szczególnie rozwiązania IanB, które zapisałoby niektóre wywołania db.

Proponowane rozwiązanie Osobiście podchodziłbym do tego w ten sposób...użytkownik uwierzytelnia się, wystawiając token dostępu z krótkim terminem wygaśnięcia (powiedzmy 15 min) i token odświeżania ważny albo na znacznie dłuższy okres, albo na czas nieokreślony. Przechowuje rekord tego odświeżania tokena w db.

Gdy użytkownik jest "aktywny", za każdym razem wystawiaj nowy token auth (ważny przez 15 minut za każdym razem). Jeśli użytkownik nie jest aktywny przez ponad 15 minut, a następnie wykonuje żądanie(więc używa wygasłego jwt), Sprawdź ważność tokenu odświeżania. Jeśli jest poprawny (łącznie z db check), wydaj nowy token auth.

Jeśli użytkownik "wyloguje się" albo na urządzeniu, albo przez stronę internetową, to zniszczy oba uzyskaj dostęp do odświeżania tokenów po stronie klienta i co ważne anuluj Ważność używanego tokenu odświeżania. Jeśli użytkownik zmieni hasło na dowolnym urządzeniu, cofnie wszystkie tokeny odświeżania, zmuszając go do ponownego zalogowania się, gdy tylko wygaśnie token dostępu. To pozostawia "okno niepewności", ale jest to nieuniknione bez uderzania db za każdym razem.

Zastosowanie tego podejścia otwiera również możliwość "cofnięcia" dostępu do określonych urządzeń, jeśli jest to wymagane, jak widać w wielu główne aplikacje internetowe.

Nie jestem pewien, czy coś mi tu umyka, ale uważam, że przyjęta odpowiedź jest bardziej skomplikowana niż jest to konieczne.

Widzę, że db musi zostać trafiony, aby zweryfikować lub unieważnić token dla każdego żądania api, jednak całkowity proces mógł być prostszy, ponieważ widzę tutaj rzeczy.

Za każdym razem, gdy tworzony jest jwt, tj. podczas logowania lub zmiany/resetowania hasła, należy wstawić jwt z identyfikatorem userid do tabeli i zachować jti (w zasadzie numer uuid) dla każdego jwt. Ta sama wit wchodzi do JWT też. W praktyce jti jednoznacznie identyfikuje jwt. Użytkownik może mieć wiele JWT w tym samym czasie, gdy konto jest dostępne z wielu urządzeń lub przeglądarek w takim przypadku, jti odróżnia urządzenie lub agenta użytkownika.

Więc schemat tabeli będzie, jti / userId. (i podstawowy klucz kursu)

Dla każdego api sprawdź, czy jti jest w tabeli, co oznacza, że jwt jest poprawne.

Gdy użytkownik zmieni lub zresetuje hasło, usuń wszystkie jti z tego userId z db. Utwórz i wstaw nowy jwt z nowym jti do tabeli. Spowoduje to unieważnienie wszystkich sesji z wszystkich innych urządzeń i przeglądarek z wyjątkiem tego, który zmienił lub zresetował hasło.

Po wylogowaniu się użytkownika usuń ten konkretny jti tego użytkownika, ale nie wszystkie. Nie byłoby jednego logowania, ale nie jednego wylogowania. Więc kiedy użytkownik wyloguje się, nie powinien być wylogowany ze wszystkich urządzeń. Jednak usunięcie wszystkich wit spowoduje wylogowanie się ze wszystkich urządzeń też.

Więc byłaby to jedna tabela i brak porównań dat. Również byłoby tak samo, jeśli token odświeżania jest używany, czy nie.

Jednak, aby zminimalizować zakłócenia db i możliwe opóźnienia, użycie pamięci podręcznej z pewnością pomogłoby zmniejszyć czas przetwarzania.

Uwaga: proszę uzasadnić, jeśli nie głosujesz.

Jeśli użytkownik zmienia swoje hasło, trafisz tam w db. Ale nie chcesz trafić do db o autoryzację?

Odkryłem korzyści płynące z przechowywania ciągów dla każdego użytkownika, a globalny współdzielony ciąg zaszyfrowany razem daje nam największą elastyczność w implementacji JWT. W tym konkretnym przypadku zachowałbym hash hasła do użycia z globalnym ciągiem i hashował je razem dla tajemnicy JWT.

Zgadzam się wyłącznie z @Gopinath odpowiedź po prostu chcę dodać jedną rzecz, że należy również usunąć czas zmiany hasła, gdy wszystkie tokeny wygasły na przykład załóżmy, że masz ustawiony czas wygaśnięcia 3 dni dla każdego tokena wygasnąć teraz zamiast po prostu normalnie zapisując czas zmiany hasła w bazie danych można również ustawić jego czas wygaśnięcia 3 dni, ponieważ jak oczywiście tokeny przed to będzie wygasł, więc nie trzeba sprawdzać dla każdego tokena ponownie, że czy jego czas wygaśnięcia jest większy niż zmiana czasu password time or not