无效的JSON Web令牌

Z时代
2024-01-10
分类：问答

对于我正在研究的一个新的node.js项目，我正在考虑从基于cookie的会话方法切换（这意味着，将ID存储到包含用户会话的键值存储中的用户浏览器中）到使用JSON

Web令牌（jwt）的基于令牌的会话方法（无键值存储）。

该项目是一个利用socket.io的游戏-在单个会话（web和socket.io）中会有多个通信渠道的情况下，基于令牌的会话将非常有用。

如何使用jwt方法从服务器提供令牌/会话无效？

我还想了解我应该用这种范例寻找哪些常见（或不常见）的陷阱/攻击。例如，如果此范例易受与基于会话存储/ cookie的方法相同/不同类型的攻击的影响。

因此，说我有以下内容适应了this和this：

会话商店登录：

app.get('/login', function(request, response) {
    var user = {username: request.body.username, password: request.body.password };
    // Validate somehow
    validate(user, function(isValid, profile) {
        // Create session token
        var token= createSessionToken();
        // Add to a key-value database
        KeyValueStore.add({token: {userid: profile.id, expiresInMinutes: 60}});
        // The client should save this session token in a cookie
        response.json({sessionToken: token});
    });
}

基于令牌的登录：

var jwt = require('jsonwebtoken');
app.get('/login', function(request, response) {
    var user = {username: request.body.username, password: request.body.password };
    // Validate somehow
    validate(user, function(isValid, profile) {
        var token = jwt.sign(profile, 'My Super Secret', {expiresInMinutes: 60});
        response.json({token: token});
    });
}

要注销（或使会话存储方法无效），将需要使用指定的令牌更新KeyValueStore数据库。

在基于令牌的方法中似乎不存在这样的机制，因为令牌本身将包含通常存在于键值存储中的信息。