JWTトークンを保存するにはどうすればよいですか？
質問者：Elanor Rabanal |最終更新日：2020年3月17日
カテゴリ：テクノロジーおよびコンピューティングブラウザ
JWTは、ユーザーのブラウザー内の安全な場所に保存する必要があります。 localStorage内に保存すると、ページ内の任意のスクリプトからアクセスできます（XSS攻撃により、外部の攻撃者がトークンにアクセスできるようになる可能性があるため、これは見た目と同じくらい悪いことです）。ローカルストレージ（またはセッションストレージ）に保管しないでください。
また、OAuthトークンを保存するにはどうすればよいですか？3つの答え。クライアントは、 OAuthの用語では、リソースサーバーにリクエストを送信するコンポーネントです。この場合、クライアントはWebアプリケーションのサーバーです（ブラウザーではありません）。したがって、アクセストークンはWebアプリケーションサーバーにのみ保存する必要があります。
さらに、JWTトークンを盗むことはできますか？要するに：それは悪い、本当に悪い。 JWTはクライアントの識別に使用されるため、クライアントが盗まれたり侵害されたりした場合、攻撃者は、代わりにユーザーのユーザー名とパスワードを侵害した場合と同じように、ユーザーのアカウントに完全にアクセスできます。
では、JWTトークンで何ができるでしょうか？
JSON Web Token （ JWT ）はオープンスタンダード（RFC 7519）であり、当事者間で情報をJSONオブジェクトとして安全に送信するためのコンパクトで自己完結型の方法を定義しています。この情報はデジタル署名されているため、検証および信頼できます。
JWTトークンはどこに保存されますか？
JWTは、ユーザーのブラウザー内の安全な場所に保存する必要があります。 localStorage内に保存すると、ページ内の任意のスクリプトからアクセスできます（XSS攻撃により、外部の攻撃者がトークンにアクセスできるようになる可能性があるため、これは見た目と同じくらい悪いことです）。
33関連する質問の回答が見つかりました
アクセストークンをローカルストレージに保存しても安全ですか？
トークンをローカルストレージに保存しないでください
ブラウザのローカルストレージ（またはセッションストレージ）は、機密情報を保存するための安全な場所ではありません。そこに保存されているすべてのデータ：JavaScriptを介してアクセスできます。クロスサイトスクリプティングに対して脆弱である可能性があります。 更新トークンはどこに保存されますか？
3つの答え。暗号化されたトークンをHttpOnlyCookieに安全に保存できます。寿命の長い更新トークンが心配な場合。保存をスキップして、まったく使用しないでください。
CSRFトークンとはどういう意味ですか？
クロスサイトリクエストフォージェリは、ワンクリック攻撃またはセッションライディングとも呼ばれ、 CSRF （シーサーフと発音されることもあります）またはXSRFと略され、Webサイトの悪意のあるエクスプロイトの一種であり、Webサイトのユーザーから不正なコマンドが送信されます。アプリケーションの信頼。
セッショントークンはどこに保存されますか？
ユーザーはログイン資格情報を入力します。サーバーは、資格情報が正しいことを確認し、署名されたトークンを返します。このトークンはクライアント側に保存され、最も一般的にはローカルストレージに保存されますが、セッションストレージまたはCookieにも保存できます。
JWTをデータベースに保存する必要がありますか？
2つの答え。あなたはデシベルでJWTを格納することができますが、あなたは、JWTの利点の一部を失います。 JWTには、設定可能な有効期限があり、それ以降は無効になります。アクセストークン（ JWTであるかどうかに関係なく）は通常、セキュリティのために短命である必要があります。
ベアラートークンとは何ですか？
ベアラートークンは不透明な文字列であり、それを使用するクライアントにとって意味を持つことを意図したものではありません。他の人がそのようなJSONウェブトークンとして構造化トークンを使用するかもしれないが、一部のサーバーは、進文字の短い文字列ですトークンを発行します。
APIトークンを取得するにはどうすればよいですか？
APIトークンを生成するには、管理者である必要があり、トークンアクセスが有効になっている必要があります。サイドバーの管理アイコン（）をクリックし、[チャンネル]> [ API]を選択します。 [設定]タブをクリックし、トークンアクセスが有効になっていることを確認します。アクティブAPIトークンの右側にある[+]ボタンをクリックします。
JWTはOAuthですか？
基本的に、 JWTはトークン形式です。 OAuthは、 JWTをトークンとして使用できる認証プロトコルです。 OAuthは、サーバー側とクライアント側のストレージを使用します。実際のログアウトを行う場合は、 OAuth2を使用する必要があります。
JWTはいつ期限切れになりますか？
認証後、15分間有効なJWTを配布します。有効期限が切れるたびに、クライアントにトークンを更新させます。これが7日以内に行われる場合、再認証せずに新しいJWTを取得できます。セッションが7日間非アクティブになった後、新しいJWTトークンを配布する前に認証を要求します。
JWTトークンは期限切れになりますか？
トークンが盗まれた場合、期限切れにならないJWTトークンは危険であり、誰かがいつでもユーザーのデータにアクセスできます。 JWT RFCからの引用：Webアプリの場合：有効期限を1週間に設定した場合、トークンを1週間使用しないでください。 1週間以内に使用し、古いトークンの有効期限が切れる前に新しいトークンを取得してください。
なぜJWTトークンが必要なのですか？
JSON Web Token （ JWT ）はオープンスタンダード（RFC 7519）であり、認証や承認の事実など、発行者とオーディエンスの2者間で情報を送信する方法を定義します。各トークンは自己完結型です。つまり、APIへの特定のリクエストを許可または拒否するために必要なすべての情報が含まれています。
JWTトークンはどのように生成されますか？
JWTまたはJSONWeb Tokenは、クライアントの信頼性を検証するためにHTTPリクエスト（クライアントからサーバーへ）で送信される文字列です。 JWTは秘密鍵を使用して作成され、その秘密鍵はユーザー専用です。クライアントからJWTを受信すると、この秘密鍵を使用してJWTを確認できます。
JWTをハッキングできますか？
JWT （JSON Web Tokens）は、最新のWeb認証のデファクトスタンダードです。ただし、他のテクノロジーと同様に、 JWTはハッキングの影響を受けません。
JWTトークンは安全ですか？
json Webトークン（ JWT ）のコンテンツは本質的に安全ではありませんが、トークンの信頼性を検証するための組み込み機能があります。公開/秘密鍵システムでは、発行者は、対応する公開鍵によってのみ検証できる秘密鍵を使用してトークン署名に署名します。
JWTを無効にするにはどうすればよいですか？
JWT ID（jtiクレーム）または同等のものを「取り消された」リストに保存することで、特定の検証パーティのJWTの無効化をシミュレートできます。たとえば、PopulateCacheポリシーを使用してApigeeEdgeに保存されたキャッシュ。 JWTの有効期限よりも長いTTLを使用してください。
JWTフォーマットとは何ですか？
JSON Web Token（ JWT ）は、2者間で転送されるクレームを表す手段です。 JWTのクレームは、JSON Web署名（JWS）を使用してデジタル署名されたJSONオブジェクトとしてエンコードされるか、JSON Web暗号化（JWE）を使用して暗号化されます。
署名されたトークンとは何ですか？
署名された認証トークンとは何ですか？トークンベースの認証は、サーバーへの各要求に署名付きトークンが付随していることを確認することで機能します。このトークンは、サーバーが信頼性を確認してから、要求に応答するだけです。