Чек-лист безопасности JWT

• Отклоняйте alg=none и неожиданные алгоритмы; разрешайте только ожидаемый алгоритм.
• Полезная нагрузка не зашифрована, поэтому никогда не помещайте туда пароли, персональные данные и другие секреты.
• Держите время жизни коротким с помощью exp и управляйте окном действия и повторным использованием через nbf и jti.
• При проверке подписи также убеждайтесь, что iss и aud совпадают с ожидаемыми значениями.
• Секреты должны быть длинными и случайными и никогда не должны раскрываться клиенту.

Связанные