Гайд

Где хранить JWT: localStorage vs cookie

От того, где вы храните JWT в браузере, зависит риск XSS и CSRF.

localStorage: удобно, но читается из JavaScript, поэтому уязвимо к XSS — внедрённый скрипт может украсть токен.
HttpOnly cookie: JavaScript не может его прочитать, устойчиво к XSS, но отправляется автоматически, поэтому нужна защита от CSRF (SameSite / CSRF-токен).
Рекомендуется: хранить токен обновления в cookie с HttpOnly, Secure и SameSite, а токен доступа — недолго в памяти (переменной).
Где бы вы ни хранили, HTTPS обязателен; держите срок жизни коротким и никогда не кладите чувствительные данные в полезную нагрузку.

Попробуйте декодировать токен самиПросто вставьте — заголовок, полезная нагрузка и утверждения раскроются мгновенно.

Открыть декодер

Связанные

Что такое JWT

JWT (JSON Web Token) — это небольшой подписанный формат JSON-токена для безопасной передачи информации между сторонами.

Трёхчастная структура JWT

Каждый JWT состоит из header.payload.signature, и каждая часть закодирована в base64url.

Чек-лист безопасности JWT

Короткий список ключевых принципов безопасного использования JWT.

JWT против сессионной аутентификации

Разница между аутентификацией по токену (JWT) и по серверной сессии (cookie) и когда что использовать.

Частые ошибки JWT и их решение

Самые частые ошибки при работе с JWT, их причины и способы устранения.

Токены доступа и токены обновления

Роль короткоживущего токена доступа и токена обновления, который его продлевает.

JWS против JWE (подписанный vs зашифрованный)

JWT обычно является подписанным JWS; чтобы скрыть содержимое, используют зашифрованный JWE. Вот разница.

Пользовательские утверждения (публичные vs частные)

Помимо зарегистрированных утверждений (iss, exp, ...) — виды, которые вы задаёте сами, и как избежать коллизий.

JWT в OAuth 2.0 и OpenID Connect

Как JWT используется в OAuth 2.0 и OpenID Connect.