โฟลว์โทเค็นการรีเฟรช JWT

ฉันกำลังสร้างแอพมือถือและกำลังใช้ JWT สำหรับการพิสูจน์ตัวตน

ดูเหมือนว่าวิธีที่ดีที่สุดในการทำเช่นนี้คือการจับคู่โทเค็นการเข้าถึง JWT กับโทเค็นการรีเฟรชเพื่อให้ฉันสามารถหมดอายุโทเค็นการเข้าถึงได้บ่อยเท่าที่ฉันต้องการ

1. โทเค็นการรีเฟรชมีลักษณะอย่างไร มันเป็นสตริงสุ่มหรือไม่? สตริงนั้นเข้ารหัสหรือไม่ เป็น JWT อื่นหรือไม่?
2. โทเค็นการรีเฟรชจะถูกเก็บไว้ในฐานข้อมูลบนโมเดลผู้ใช้สำหรับการเข้าถึงถูกต้องหรือไม่? ดูเหมือนว่าควรเข้ารหัสในกรณีนี้
3. ฉันจะส่งโทเค็นการรีเฟรชกลับหลังจากล็อกอินของผู้ใช้แล้วให้ไคลเอนต์เข้าถึงเส้นทางแยกต่างหากเพื่อดึงโทเค็นการเข้าถึงหรือไม่

สมมติว่านี่เป็นเรื่องเกี่ยวกับ OAuth 2.0 เนื่องจากเป็นเรื่องเกี่ยวกับ JWT และการรีเฟรชโทเค็น ... :

1. เช่นเดียวกับโทเค็นการเข้าถึงโดยหลักการแล้วโทเค็นการรีเฟรชอาจเป็นอะไรก็ได้รวมถึงตัวเลือกทั้งหมดที่คุณอธิบาย สามารถใช้ JWT เมื่อเซิร์ฟเวอร์การอนุญาตต้องการเป็นคนไร้สัญชาติหรือต้องการบังคับใช้ความหมาย "พิสูจน์การครอบครอง" บางประเภทกับไคลเอ็นต์ที่นำเสนอ โปรดทราบว่าโทเค็นการรีเฟรชแตกต่างจากโทเค็นการเข้าถึงตรงที่ไม่ได้แสดงให้กับเซิร์ฟเวอร์ทรัพยากร แต่เฉพาะกับเซิร์ฟเวอร์การอนุญาตที่ออกให้ตั้งแต่แรกดังนั้นการเพิ่มประสิทธิภาพการตรวจสอบความถูกต้องในตัวเองสำหรับ JWTs-as-access-tokens ไม่ถือเพื่อรีเฟรชโทเค็น

2. ขึ้นอยู่กับความปลอดภัย / การเข้าถึงฐานข้อมูล หากบุคคลอื่น / เซิร์ฟเวอร์ / แอปพลิเคชัน / ผู้ใช้สามารถเข้าถึงฐานข้อมูลได้ใช่ (แต่ระยะทางของคุณอาจแตกต่างกันไปตามสถานที่และวิธีการจัดเก็บคีย์เข้ารหัส ... )

3. เซิร์ฟเวอร์การอนุญาตอาจออกทั้งโทเค็นการเข้าถึงและโทเค็นการรีเฟรชในเวลาเดียวกันขึ้นอยู่กับการให้สิทธิ์ที่ไคลเอ็นต์ใช้เพื่อรับ ข้อมูลจำเพาะประกอบด้วยรายละเอียดและตัวเลือกของทุนมาตรฐานแต่ละรายการ

ด้านล่างนี้เป็นขั้นตอนในการเพิกถอนโทเค็นการเข้าถึง JWT ของคุณ:

1. เมื่อคุณเข้าสู่ระบบให้ส่ง 2 โทเค็น (โทเค็นการเข้าถึง, รีเฟรชโทเค็น) เพื่อตอบสนองกับไคลเอนต์
2. โทเค็นการเข้าถึงจะมีเวลาหมดอายุน้อยลงและการรีเฟรชจะมีเวลาหมดอายุที่ยาวนาน
3. ไคลเอนต์ (ส่วนหน้า) จะจัดเก็บโทเค็นการรีเฟรชในที่จัดเก็บในตัวเครื่องและโทเค็นการเข้าถึงในคุกกี้
4. ไคลเอนต์จะใช้โทเค็นการเข้าถึงเพื่อเรียก API แต่เมื่อหมดอายุให้เลือกโทเค็นการรีเฟรชจากที่จัดเก็บในตัวเครื่องและเรียกใช้ auth server API เพื่อรับโทเค็นใหม่
5. เซิร์ฟเวอร์รับรองความถูกต้องของคุณจะมี API ที่เปิดเผยซึ่งจะยอมรับโทเค็นการรีเฟรชและตรวจสอบความถูกต้องและส่งคืนโทเค็นการเข้าถึงใหม่
6. เมื่อโทเค็นการรีเฟรชหมดอายุผู้ใช้จะออกจากระบบ

โปรดแจ้งให้เราทราบหากคุณต้องการรายละเอียดเพิ่มเติมฉันสามารถแบ่งปันรหัส (Java + Spring boot) ได้เช่นกัน

สำหรับคำถามของคุณ:

Q1: เป็นอีกหนึ่ง JWT ที่มีการอ้างสิทธิ์น้อยลงและมีเวลาหมดอายุที่ยาวนาน

Q2: จะไม่อยู่ในฐานข้อมูล แบ็กเอนด์จะไม่จัดเก็บที่ใดก็ได้ พวกเขาจะถอดรหัสโทเค็นด้วยคีย์ส่วนตัว / สาธารณะและตรวจสอบความถูกต้องด้วยเวลาหมดอายุด้วย

Q3: ใช่ถูกต้อง

จากการนำไปใช้กับ Node.js ของ JWT พร้อมด้วยโทเค็นการรีเฟรช :

1) ในกรณีนี้พวกเขาใช้ uid และไม่ใช่ JWT เมื่อรีเฟรชโทเค็นพวกเขาจะส่งโทเค็นการรีเฟรชและผู้ใช้ หากคุณใช้เป็น JWT คุณไม่จำเป็นต้องส่งผู้ใช้เพราะจะอยู่ใน JWT

2) ใช้สิ่งนี้ในเอกสารที่แยกจากกัน (ตาราง) มันมีความหมายสำหรับฉันเพราะผู้ใช้สามารถเข้าสู่ระบบในแอปพลิเคชันไคลเอนต์ต่างๆและอาจมีโทเค็นการรีเฟรชโดยแอป หากผู้ใช้สูญเสียอุปกรณ์ที่ติดตั้งแอปหนึ่งโทเค็นการรีเฟรชของอุปกรณ์นั้นอาจถูกยกเลิกโดยไม่ส่งผลกระทบต่ออุปกรณ์อื่น ๆ ที่เข้าสู่ระบบ

3) ในการใช้งานนี้จะตอบสนองต่อวิธีการเข้าสู่ระบบด้วยทั้งโทเค็นการเข้าถึงและโทเค็นการรีเฟรช ตะเข็บถูกต้องสำหรับฉัน