قائمة تحقق أمان JWT

• ارفض alg=none والخوارزميات غير المتوقعة؛ واسمح فقط بالخوارزمية التي تتوقعها.
• الحمولة غير مشفَّرة، فلا تضع فيها أبدًا كلمات مرور أو بيانات شخصية أو أسرارًا أخرى.
• اجعل العمر قصيرًا باستخدام exp، وتحكّم في نافذة الصلاحية وإعادة الاستخدام عبر nbf وjti.
• عند التحقق من التوقيع، تأكّد أيضًا من مطابقة iss وaud للقيم المتوقعة.
• يجب أن تكون الأسرار طويلة وعشوائية، وألا تُكشف أبدًا للعميل.

ذات صلة