Bộ tạo JWT

Lượng dữ liệu tiêu chuẩn dành cho token người dùng đã được xác thực

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "user_12345",
  "iat": 1713398400,
  "nbf": 1713398400,
  "exp": 1713402000,
  "jti": "3c7c7e14-2de4-41f0-bf09-1eb5cfad4c01",
  "scope": "read:profile write:posts"
}

Lựa chọn thuật toán: HMAC so với thuật toán không đối xứng

Độ mạnh của khóa

• Bí mật HMAC phải có độ entropy ít nhất bằng kích thước đầu ra của thuật toán. HS256 yêu cầu 256 bit ngẫu nhiên (32 byte); nếu ít hơn thì có thể bị bẻ khóa bằng phương pháp brute-force.
• Khóa RSA phải có độ dài tối thiểu là 2048 bit; đối với các token có thời gian sử dụng lâu dài, nên dùng độ dài 3072 hoặc 4096 bit.
• ECDSA (ES256) cung cấp mức độ bảo mật tương đương với RSA 3072 nhưng sử dụng khóa nhỏ hơn nhiều và quá trình ký nhanh hơn đáng kể.

Hướng dẫn về thời hạn sử dụng

Token có thời hạn ngắn kèm chức năng tự động làm mới là mô hình hiện đại. Trong khi đó, các token truy cập có tuổi thọ dài rất khó bị thu hồi sau khi bị xâm phạm.

Các lỗi phổ biến

• Tái sử dụng bí mật kiểm thử trong môi trường sản xuất. Bộ tạo sẽ đánh dấu bí mật HS256 và JWT đầu ra là “chỉ dùng cho kiểm thử” nếu bí mật đó có vẻ yếu. Hãy tin vào cảnh báo này.
• Ký mà không có exp. Một JWT không có hạn sử dụng sẽ có hiệu lực vĩnh viễn. Luôn thiết lập exp trừ khi bạn có lý do rất chính đáng và có danh sách thu hồi.
• Sử dụng alg từ phần tiêu đề ở phía xác minh. Luôn đưa các thuật toán vào danh sách trắng ở phía xác minh; đừng làm theo yêu cầu của token.
• Dán khóa riêng tư thật vào đây. Bộ tạo này chạy trực tiếp trong trình duyệt của bạn; tuy nhiên, hãy coi khóa riêng tư như thông tin mật: hãy dùng khóa thử thay vì khóa sản xuất.