JWTトークンはサーバーのどこに保存されますか？
質問者：Manrique Danshin |最終更新日：2020年5月28日
カテゴリ：テクノロジーとコンピューティングのWeb開発
JWTは、ユーザーのブラウザー内の安全な場所に保存する必要があります。 localStorage内に保存すると、ページ内の任意のスクリプトからアクセスできます（XSS攻撃により、外部の攻撃者がトークンにアクセスできるようになる可能性があるため、これは見た目と同じくらい悪いことです）。ローカルストレージ（またはセッションストレージ）に保管しないでください。
また、トークンはどこに保存されているのでしょうか。サーバーは、資格情報が正しいことを確認し、署名されたトークンを返します。このトークンはクライアント側に保存され、最も一般的にはローカルストレージに保存されますが、セッションストレージまたはCookieにも保存できます。
次に、JWTトークンで何ができますか？ JSON Web Token （ JWT ）はオープンスタンダード（RFC 7519）であり、当事者間で情報をJSONオブジェクトとして安全に送信するためのコンパクトで自己完結型の方法を定義しています。この情報はデジタル署名されているため、検証および信頼できます。
同様に、JWTトークンは期限切れになりますか？
トークンが盗まれた場合、期限切れにならないJWTトークンは危険であり、誰かがいつでもユーザーのデータにアクセスできます。 Webアプリの場合：有効期限を1週間に設定した場合、トークンを1週間使用しないでください。 1週間以内に使用し、古いトークンの有効期限が切れる前に新しいトークンを取得してください。
oauth2トークンはどこに保存されますか？
3つの答え。クライアントは、OAuthの用語では、リソースサーバーにリクエストを送信するコンポーネントです。この場合、クライアントはWebアプリケーションのサーバーです（ブラウザーではありません）。したがって、アクセストークンはWebアプリケーションサーバーにのみ保存する必要があります。
37関連する質問の回答が見つかりました
JWTトークンを盗むことはできますか？
JSON Web Tokenが盗まれた場合はどうなりますか？要するに：それは悪い、本当に悪い。 JWTはクライアントの識別に使用されるため、クライアントが盗まれたり侵害されたりした場合、攻撃者は、代わりにユーザーのユーザー名とパスワードを侵害した場合と同じように、ユーザーのアカウントに完全にアクセスできます。
アクセストークンをローカルストレージに保存しても安全ですか？
トークンをローカルストレージに保存しないでください
ブラウザのローカルストレージ（またはセッションストレージ）は、機密情報を保存するための安全な場所ではありません。そこに保存されているすべてのデータ：JavaScriptを介してアクセスできます。クロスサイトスクリプティングに対して脆弱である可能性があります。 JWTは認証または承認ですか？
JSON Web Token （ JWT ）は、当事者間で情報をJSONオブジェクトとして安全に送信するためのオープンスタンダードです。それは発音されたメモ、または私たちのオランダの友人が言うように、yaywaytayです。 JWTは一般的に承認に使用されます。 JWTは、秘密鍵または公開鍵と秘密鍵のペアを使用して署名できます。
更新トークンはどこに保存されますか？
3つの答え。暗号化されたトークンをHttpOnlyCookieに安全に保存できます。寿命の長い更新トークンが心配な場合。保存をスキップして、まったく使用しないでください。
トークンとはどういう意味ですか？
一般に、トークンは、別のオブジェクト（物理的または仮想）などの他のオブジェクトを表すオブジェクト、または抽象的な概念です。たとえば、ギフトは、受取人に対する贈与者の尊敬のトークンと呼ばれることもあります。コンピューターには、いくつかの種類のトークンがあります。
JWTトークンを確認するにはどうすればよいですか？
JWTトークンの署名を確認するには
IDトークンをデコードします。 AWS Lambdaを使用して、ユーザープールJWTをデコードできます。詳細については、「Lambdaを使用したAmazon CognitoJWTトークンのデコードと検証」を参照してください。 OpenID Foundationは、 JWTトークンを操作するためのライブラリのリストも保持しています。 JWTトークンは安全ですか？
json Webトークン（ JWT ）のコンテンツは本質的に安全ではありませんが、トークンの信頼性を検証するための組み込み機能があります。公開/秘密鍵システムでは、発行者は、対応する公開鍵によってのみ検証できる秘密鍵を使用してトークン署名に署名します。
JWTトークンを手動で期限切れにするにはどうすればよいですか？
更新トークンを使用してJWTを強制的に期限切れにする
- リクエストのヘッダーにトークンが存在するかどうかを確認します。
- トークンが有効なJWTであり、正しく署名されており、有効期限が切れていないことを確認してください。
- ペイロードのuidプロパティからユーザーが存在することを確認します。
- ridプロパティから発行中の更新トークンがまだ存在することを確認してください。
アクセストークンと更新の違いは何ですか？
更新トークンとアクセストークンの違いはオーディエンスです。更新トークンは承認サーバーにのみ戻り、アクセストークンは（RS）リソースサーバーに戻ります。アクセストークンを更新すると、ユーザーのあった場合、それはあなたを教えてくれません、ユーザーの代わりにAPIへのあなたのアクセスを提供します。
JWTトークンはどのように期限切れになりますか？
JWTsを受け入れるAPIは、これはトークン盗まれた場合、APIサーバが知る方法がないので、JWTの源に依存することなく、独立した検証を行います！これが、JWTに有効期限の値がある理由です。一般的な方法は、15分程度保持することです。これにより、リークされたJWTはかなり迅速に有効でなくなります。
JWTをどのように更新しますか？
15分ごとにトークンを更新する必要がありますが、更新するためにユーザーに再度認証を許可する必要はありません。
- 認証後、15分間有効なJWTを配布します。
- 有効期限が切れるたびに、クライアントにトークンを更新させます。
JWTはいつ期限切れになりますか？
これが、JWTに有効期限の値がある理由です。そして、これらの値は短く保たれています。一般的な方法は、15分程度保持することです。これにより、リークされたJWTはかなり迅速に有効でなくなります。ただし、JWTがリークされないようにしてください。
トークンの有効期限が切れるとどうなりますか？
アクセストークンの有効期限が切れると、アプリケーションはユーザーに再度サインインさせるように強制されます。これにより、サービスとして、ユーザーがアプリケーションの再認証に継続的に関与していることがわかります。
JWTをハッキングできますか？
JWT （JSON Web Tokens）は、最新のWeb認証のデファクトスタンダードです。ただし、他のテクノロジーと同様に、 JWTはハッキングの影響を受けません。
JWTトークンはどのように生成されますか？
JWTまたはJSONWeb Tokenは、クライアントの信頼性を検証するためにHTTPリクエスト（クライアントからサーバーへ）で送信される文字列です。 JWTは秘密鍵を使用して作成され、その秘密鍵はユーザー専用です。クライアントからJWTを受信すると、この秘密鍵を使用してJWTを確認できます。
JWTクレームとは何ですか？
JSON Web Token （ JWT ）は、2者間で転送されるクレームを表す手段です。 JWTのクレームは、JSON Web署名（JWS）を使用してデジタル署名されたJSONオブジェクトとしてエンコードされるか、JSON Web暗号化（JWE）を使用して暗号化されます。
反応はどれくらい安全ですか？
Reactは、インタラクティブなインターフェイスを作成するための私のお気に入りのライブラリです。使いやすく、非常に安全です。しかし、それはそれが完全に安全であるという意味ではありません。自己満足して「 Reactを使用しているのでXSSについて心配する必要はない」と考えるのは簡単ですが、そうではありません。