JWT ควรเก็บไว้ใน localStorage หรือคุกกี้? [ซ้ำ]

สำหรับวัตถุประสงค์ของการรักษาความปลอดภัย REST API ที่ใช้ JWT ตามวัสดุบางอย่าง (เช่นนี้คู่มือและคำถาม ) ที่ JWT สามารถเก็บไว้ในทั้งlocalStorageหรือคุกกี้ ตามความเข้าใจของฉัน:

• localStorageอยู่ภายใต้ XSS และโดยทั่วไปไม่แนะนำให้เก็บข้อมูลที่ละเอียดอ่อนใด ๆ ไว้ในนั้น
• ด้วยคุกกี้เราสามารถใช้แฟล็ก "httpOnly" ซึ่งช่วยลดความเสี่ยงของ XSS ได้ อย่างไรก็ตามหากเราต้องการอ่าน JWT จากคุกกี้ในแบ็กเอนด์เราจะต้องอยู่ภายใต้ CSRF

ตามหลักฐานข้างต้น - จะเป็นการดีที่สุดหากเราเก็บ JWT ไว้ในคุกกี้ ในทุกการร้องขอไปยังเซิร์ฟเวอร์ JWT จะถูกอ่านจากคุกกี้และเพิ่มในส่วนหัวการอนุญาตโดยใช้โครงร่างของผู้ถือ จากนั้นเซิร์ฟเวอร์สามารถตรวจสอบ JWT ในส่วนหัวของคำขอได้ (ตรงข้ามกับการอ่านจากคุกกี้)

ความเข้าใจของฉันถูกต้องหรือไม่? หากเป็นเช่นนั้นแนวทางข้างต้นมีข้อกังวลด้านความปลอดภัยหรือไม่? หรือจริงๆแล้วเราสามารถใช้งาน localStorage ได้ตั้งแต่แรก?

ฉันชอบวิธี XSRF Double Submit Cookies ที่กล่าวถึงในบทความที่ @ pkid169 กล่าว แต่มีสิ่งหนึ่งที่บทความไม่ได้บอกคุณ คุณยังไม่ได้รับการป้องกันจาก XSS เนื่องจากสิ่งที่ผู้โจมตีสามารถทำได้คือการแทรกสคริปต์ที่อ่านคุกกี้ CSRF ของคุณ (ซึ่งไม่ใช่ HttpOnly) จากนั้นส่งคำขอไปยังปลายทาง API ของคุณโดยใช้โทเค็น CSRF นี้พร้อมกับคุกกี้ JWT ที่จะถูกส่งโดยอัตโนมัติ

ดังนั้นในความเป็นจริงคุณยังคงอ่อนไหวต่อ XSS แต่ผู้โจมตีไม่สามารถขโมยโทเค็น JWT ของคุณเพื่อใช้ในภายหลังได้ แต่เขายังสามารถร้องขอในนามผู้ใช้ของคุณโดยใช้ XSS ได้

ไม่ว่าคุณจะจัดเก็บ JWT ของคุณไว้ใน localStorage หรือคุณเก็บโทเค็น XSRF ของคุณไว้ในคุกกี้ที่ไม่ใช่ http อย่างเดียวทั้งสองอย่างก็สามารถคว้าได้โดย XSS แม้แต่ JWT ของคุณในคุกกี้ HttpOnly ก็สามารถคว้าได้ด้วยการโจมตี XSS ขั้นสูง

ดังนั้นนอกเหนือจากวิธี Double Submit Cookies แล้วคุณต้องปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดกับ XSS รวมถึงการหลีกเลี่ยงเนื้อหาด้วย ซึ่งหมายถึงการลบโค้ดปฏิบัติการใด ๆ ที่อาจทำให้เบราว์เซอร์ทำสิ่งที่คุณไม่ต้องการ โดยทั่วไปหมายถึงการลบ // <! [CDATA [แท็กและแอตทริบิวต์ HTML ที่ทำให้ JavaScript ได้รับการประเมิน

โพสต์ทันเวลาจาก Stormpathได้อธิบายประเด็นของฉันอย่างละเอียดและตอบคำถามของฉัน

TL; ดร

เก็บ JWT ในคุกกี้จากนั้นส่งผ่าน JWT ในส่วนหัวการอนุญาตในทุกคำขอตามที่ฉันได้กล่าวไปหรือตามที่บทความแนะนำให้พึ่งพาแบ็กเอนด์เพื่อป้องกัน CSRF (เช่นใช้xsrfTokenในกรณีของ Angular)

• อย่าจัดเก็บโทเค็นของคุณใน LocalStorage หรือ SessionStorage เนื่องจากโทเค็นดังกล่าวสามารถอ่านได้จากจาวาสคริปต์ดังนั้นจึงไม่สามารถใช้งานได้กับการโจมตี XSS
• อย่าเก็บโทเค็นของคุณในคุกกี้ คุกกี้ (พร้อมแฟล็ก HttpOnly) เป็นตัวเลือกที่ดีกว่า - เป็น XSS ได้ง่าย แต่ก็ไม่สามารถใช้งานได้กับการโจมตี CSRF

ในการเข้าสู่ระบบคุณสามารถส่งมอบโทเค็นได้สองแบบ: โทเค็นการเข้าถึงและโทเค็นการรีเฟรช โทเค็นการเข้าถึงควรเก็บไว้ในหน่วยความจำ Javascript และควรเก็บโทเค็นการรีเฟรชไว้ในคุกกี้ HttpOnly ใช้โทเค็นการรีเฟรชเท่านั้นและสำหรับการสร้างโทเค็นการเข้าถึงใหม่เท่านั้นไม่มีอะไรเพิ่มเติม

เมื่อผู้ใช้เปิดแท็บใหม่หรือในการรีเฟรชไซต์คุณต้องดำเนินการร้องขอเพื่อสร้างโทเค็นการเข้าถึงใหม่โดยยึดตามโทเค็นการรีเฟรชซึ่งเก็บไว้ในคุกกี้

ฉันขอแนะนำอย่างยิ่งให้อ่านบทความนี้: https://hasura.io/blog/best-practices-of-using-jwt-with-graphql/

เพื่อช่วยป้องกันการโจมตี CSRF ที่ใช้ประโยชน์จากคุกกี้ที่มีอยู่คุณสามารถตั้งค่าคุกกี้ของคุณด้วยSameSiteคำสั่ง ตั้งค่าเป็นlaxหรือstrictหรือ

นี่ยังคงเป็นแบบร่างและในปี 2019 เบราว์เซอร์ปัจจุบันทั้งหมดยังไม่รองรับทั้งหมดแต่ขึ้นอยู่กับความไวของข้อมูลของคุณและ / หรือการควบคุมเบราว์เซอร์ที่ผู้ใช้ของคุณใช้อาจเป็นตัวเลือกที่ใช้ได้ การตั้งค่าคำสั่งด้วยSameSite=laxจะช่วยให้ "การนำทางระดับบนสุดซึ่งใช้วิธี 'ปลอดภัย' ... HTTP"