Có an toàn khi đặt jwt vào url làm tham số truy vấn của yêu cầu GET không?

Question

Có an toàn khi đặt một jwt (mã thông báo web json) vào url dưới dạng tham số truy vấn của yêu cầu GET không?

Answer 1

Nó có thể được an toàn trong các trường hợp sau đây:

1. JWT là thời gian sử dụng một lần duy nhất
2. các jti và exp tuyên bố có mặt trong token
3. người nhận thực hiện đúng cách bảo vệ replay sử dụng jti và exp

nhưng trong trường hợp nó được sử dụng làm mã thông báo có thể lặp lại ly được sử dụng, ví dụ: chống lại một API sau đó cung cấp nó như là một tham số truy vấn ít được ưa thích vì nó có thể kết thúc trong nhật ký và thông tin quy trình hệ thống, có sẵn cho những người khác có quyền truy cập vào hệ thống máy chủ hoặc máy khách. Trong trường hợp đó sẽ là tốt hơn để trình bày nó như là một phần của một tiêu đề hoặc một tham số POST.

Bên cạnh đó, bằng cách sử dụng nó trong các tham số truy vấn bạn có thể chạy vào giới hạn kích thước URL trên trình duyệt hoặc máy chủ; sử dụng nó trong một tiêu đề cung cấp một số không gian hơn, sử dụng nó như là một paramter POST sẽ làm việc tốt nhất.

Answer 2

Bạn không nên bao gồm bất kỳ thông tin bí mật nào trong URL. Bạn có thể mã hóa jwt và đưa nó vào URL bằng phương thức GET. Tuy nhiên, hãy nhớ rằng một số tin tặc có thể giải mã được, đó sẽ là vấn đề nếu nó chứa thông tin bí mật. Vì vậy, nếu nó không phải là bí mật bạn có thể bao gồm nó, nếu không sử dụng một số phương pháp khác nhau như, POST hoặc phiên.