Server-Sitzung
Der Browser speichert nur eine zufällige Kennung, während der Server den Anmeldestatus verwaltet. Sperrungen und geänderte Rechte können dadurch unmittelbar berücksichtigt werden.
JWT oder Server-Sitzung:
die Anwendung entscheidet.
Ein JWT ist ein signiertes Datenformat und noch kein vollständiges Anmeldesystem. Bei einer Server-Sitzung verwaltet der Server den aktuellen Anmeldestatus.
Dein Vorhaben besprechenDie wichtigsten Gedanken.
Für Browseranwendungen sind geschützte Cookies und serverseitig kontrollierbare Sitzungen häufig gut handhabbar. Verteilte Schnittstellen können kurz gültige Zugriffsschlüssel benötigen.
- JWT ist ein Datenformat
- Sitzungs-ID verweist auf den Server
- Geschützte Browser-Cookies
- Kurze Laufzeit für Zugriffsschlüssel
- Verlängerung und Widerruf planen
- Keine sensiblen Daten im Schlüssel
JWT
Ein signiertes JWT kann bestimmte Angaben ohne erneutes Nachschlagen bestätigen. Zu lange Gültigkeit, schwieriger Widerruf und inzwischen geänderte Rechte können jedoch problematisch sein.
Speicherort im Browser
Vor JavaScript geschützte Cookies verringern bestimmte Angriffswege. Eine langfristige Ablage sensibler Zugriffsschlüssel im frei zugänglichen Browserspeicher ist häufig vermeidbar.
Ein häufig gewählter Weg
Der Browser nutzt eine geschützte Sitzung. Andere Dienste erhalten kurz gültige, zweckgebundene Zugriffsschlüssel. Verlängerung, Austausch und Abmeldung werden ausdrücklich geplant.
Weiterdenken.
Mehr Grundlagen für gute Entscheidungen.