使JSON Web令牌无效

Question

对于我正在进行的一个新的Node.js项目，我正在考虑从基于cookie的会话方法（我的意思是，将id存储到包含用户浏览器中用户会话的键值存储）切换到使用JSON Web令牌(jwt)的基于令牌的会话方法（无键值存储）。

这个项目是一个利用socket.io的游戏--在一个会话中有多个通信通道（web和socket.io）的情况下，拥有一个基于令牌的会话会很有用

如何使用jwt方法从服务器提供令牌/会话无效？

我还想了解在使用这种范例时应该注意哪些常见的（或不常见的）陷阱/攻击。例如，如果此范例容易受到与基于会话存储/cookie的方法相同/不同类型的攻击。

所以，说我有以下（改编自这个和这个）：

会话存储登录：

app.get('/login', function(request, response) {
    var user = {username: request.body.username, password: request.body.password };
    // Validate somehow
    validate(user, function(isValid, profile) {
        // Create session token
        var token= createSessionToken();

        // Add to a key-value database
        KeyValueStore.add({token: {userid: profile.id, expiresInMinutes: 60}});

        // The client should save this session token in a cookie
        response.json({sessionToken: token});
    });
}

基于令牌的登录：

var jwt = require('jsonwebtoken');
app.get('/login', function(request, response) {
    var user = {username: request.body.username, password: request.body.password };
    // Validate somehow
    validate(user, function(isValid, profile) {
        var token = jwt.sign(profile, 'My Super Secret', {expiresInMinutes: 60});
        response.json({token: token});
    });
}

--

会话存储方法的注销（或无效）将需要使用指定的令牌更新KeyValueStore数据库。

在基于令牌的方法中似乎不存在这样的机制，因为令牌本身将包含通常存在于键值html" target="_blank">存储中的信息。

Answer 1

上面贴出的想法是好的，但是要使所有现有的JWT无效，一个非常简单容易的方法就是简单地更改秘密。

如果您的服务器创建了JWT，使用秘密(JWS)对其进行签名，然后将其发送到客户端，那么只需更改秘密就会使所有现有的令牌无效，并要求所有用户获得一个新的令牌进行身份验证，因为根据服务器，他们的旧令牌突然变得无效。

它不需要对实际令牌内容（或查找ID）进行任何修改。

显然，这只适用于紧急情况，当您希望所有现有令牌过期时，对于每一个令牌过期，都需要上述解决方案之一（如短令牌过期时间或使令牌内存储的密钥无效）。

Answer 2

我也一直在研究这个问题，虽然没有一个想法是完整的解决方案，但它们可能会帮助其他人排除想法，或提供更多的想法。

1）只需从客户端删除令牌

显然，这对服务器端的安全性没有任何作用，但它确实通过删除令牌来阻止攻击者（即，他们必须在注销之前窃取令牌）。

2）创建令牌块列表

您可以将无效的令牌存储到它们的初始到期日，并将它们与传入的请求进行比较。这似乎否定了完全基于令牌的理由，因为您需要为每个请求接触数据库。但是，存储大小可能会更小，因为您只需要存储在注销和过期时间之间的令牌（这是一种直觉，并且肯定取决于上下文）。

3）只需缩短令牌到期时间，并经常轮换

如果您将令牌过期时间保持在足够短的间隔内，并且让运行的客户端跟踪并在必要时请求更新，则number 1将有效地作为一个完整的注销系统工作。这种方法的问题是，它使用户无法在关闭客户机代码之间保持登录（取决于您的过期间隔时间）。

应急计划

如果发生紧急情况，或者用户令牌被破坏，您可以做的一件事是允许用户使用其登录凭据更改底层用户查找ID。这将使所有相关联的令牌无效，因为将无法再找到相关联的用户。

我还想指出，将上次登录日期包含在令牌中是一个好主意，这样您就可以在较远的一段时间后强制重新登录。

关于使用令牌攻击的异同，本文讨论了以下问题:https://github.com/dentarg/blog/blob/master/_posts/2014-01-07-AngularJS-authentication-with-cookies-vs-token.markdown