Можно ли хранить учетные данные пользователя в JWT

JWT - это результат аутентификации. Например

1. Пользователь отправляет свои учетные данные (например, имя пользователя / пароль) в службу аутентификации. Это может быть сторонний сервер или один внутри вашего монолита или ваши собственные микросервисы, предназначенные для аутентификации.
2. Сервис проверяет логин-пароль. В случае успешной аутентификации он возвращает JWT, который означает, что пользователь уже аутентифицирован, другими словами, он тот, кто утверждает, что он есть. Этот JWT может содержать полезную нагрузку без конфиденциальной информации (не храните здесь пароль).
3. Пользователь отправляет другой запрос в сервисный бизнес с JWT. Если срок действия JWT не истек и он не поврежден (знак все еще действителен), тогда служба может доверять своему JWT. Возможно, эту задачу передадут сервису авторизации.

Что находится внутри токена JWT?

Что ж, самый простой JWT содержит информацию о знаке (я не могу здесь подробно описать, потому что я не эксперт по безопасности), которая позволяет проверить, не был ли поврежден знак при получении запроса с JWT.

Эту информацию можно проверить и доверять, потому что она имеет цифровую подпись.

Кроме того, JWT позволяет отправлять полезные данные.

Более формально JWT состоит из:

• Заголовок: тип используемого токена + алгоритм хеширования
• Полезная нагрузка: утверждения - это утверждения о сущности (обычно, о пользователе) и дополнительных метаданных.
• Подпись: подпись используется для проверки того, что отправитель JWT является тем, кем он является, и для гарантии того, что сообщение не было изменено в процессе.

Например, если я отправлю запрос в службу проверки подлинности с моими учетными данными username: password как gabriel: giussi, он проверит эти учетные данные и, если они в порядке, может создать следующий JWT:

Вы должны использовать jwt только для хранения токена, который будет использовать ваш API. Токен будет сгенерирован после успешного входа в систему, и его можно прикрепить к любому запросу, отправленному вашему API, и все запросы должны выполняться только в том случае, если токен действителен.

Вкратце: да, можно передавать / получать конфиденциальные данные в JWT, если вы зашифруете данные перед помещением в полезную нагрузку JWT и расшифруете их после проверки JWT, чтобы использовать их.

1. В общем случае вам не нужно хранить учетные данные пользователя в JWT, потому что JWT сам по себе является динамически сгенерированными учетными данными, которые представляют логин / пароль, предоставленные во время первого поколения JWT.

   1.1 Однако вы можете передать что-то не такое конфиденциальное, как чистый логин / пароль, но все же содержащее ценную информацию, которая вам нужна во время проверки JWT. Это может быть идентификатор пользователя (в заявлении sub, hashed, если необходимо), или код уровня доступа и т.п.

2. Тем не менее, если вы хотите, вы можете передать конфиденциальную информацию с помощью JWT. И все это довольно просто, как показано ниже.

   2.1 Для конфиденциальных данных вы можете использовать свои конкретные частные заявки в полезной нагрузке JWT, например:

   {
     // These are registered claims: (see https://tools.ietf.org/html/rfc7519#section-4.1)
     "sub": "1234567890",
     "name": "John Doe",
     "iat": 1516239022
   
     // There can be some public claims you are not afraid to expose to the world
     // these are omitted here for brevity (see https://tools.ietf.org/html/rfc7519#section-4.2).
     "omitted": "for brevity",
   
     // And here can go some private claims you wish to include in the payload, e.g.:
     "sensitiveInfo": {
       "username": "admin",
       "password": "12345",
       "account_balance": 10000,
       "etc": "something else"
     }
   }
   

   2.2 Ключ полезной нагрузки sensitiveInfo по умолчанию закодирован только в формате base64 (поэтому он легко читается любым, кто получает JWT). Чтобы сделать его безопасным, вы можете зашифровать его с помощью какого-либо внешнего модуля (например, crypto или _ 4_ на NodeJS или методы PHP по вашему выбору).

   2.3 В этом случае:

   • At the JWT generation step you have to encrypt the key's data before you provide the entire payload to JWT generator.
   • На этапе проверки JWT после того, как JWT успешно пройдет стандартную проверку (например, jsonwebtocken jwt.verify() в Node) вы получаете декодированную полезную нагрузку с зашифрованными данными в sensitiveInfo ключе. Теперь вам просто нужно расшифровать данные и использовать их, как вы планировали.

Это оно.