Einzel Seite Anwendung JWT, Token erfrischend vs langlebiges Token

Question

Ich fange an einer einzigen Seite Anwendung, und ich bin mit Javascript Web Tokens Client-Seite (JS-Client mit Server API) authentisieren.

In meiner App, Benutzer bieten Anmeldeinformationen (App-Auth, facebook, google) und dann Server prüft, ob Benutzer Existenz und gibt ein Token.

Client-JS fügt Token auf jede Anforderung, um den Server-API zu verwenden.

Wenn Token ausgegeben wird, hat es eine Ablaufzeit und eine maximale Aktualisierungszeit. Wenn eine kurze Ablaufzeit für das Token und eine "gute" maximale Aktualisierungszeit gesetzt wird, muss ich wissen, wann Token aktualisiert werden müssen. Der beste Ansatz, den ich bisher gefunden habe, besteht darin, den Client zu überprüfen, wenn der Token abgelaufen ist (5 Minuten vorher) und dann eine Aktualisierungsanfrage zu stellen. Dann würde ich ein neues Token bekommen. Dies könnte durchgeführt werden, bis die maximale Aktualisierungszeit erreicht ist. Dann sollte sich der Benutzer erneut authentifizieren müssen.

Ein weiterer Ansatz, den ich gesehen habe, ist, dass auf dem Server, wenn Token fast oder hat gerade abgelaufen ist, wird es autorefreshed und zurück an den Client (das Token-Änderung zu erfassen hat und speichern sie)

Aber .. Was ist der Unterschied zwischen diesem und einem einzelnen Token, um die "gute" Zeit zu verbringen?

Ist mit einer kurzlebigen Token, das ohne Auth Tonnen mal erneuert werden kann, besser als eine einzige lange Token zu haben?

Answer 1

Der Hauptgrund für die Verwendung eines kurzlebigen Tokens besteht darin, sich gegen session hijacking zu verteidigen, wenn ein Angreifer über die eine oder andere Methode Sitzungsdaten stiehlt (in diesem Fall das Token) und böswillig in der Sitzung des Opfers handelt. Je kürzer der Token, desto weniger Zeit muss der Angreifer für die von ihm geplanten bösartigen Aktivitäten aufwenden.