JWTSpring靴2

Question

嗨，我不知道我是否理解刷新令牌应该如何工作。我正在用angular创建spring boot后端，我想实现JWT。目前我正在后端工作。访问令牌15分钟后过期刷新令牌：过期日期7天

1. 当angular发送带有凭据的请求时，我的spring boot将生成jwt令牌和刷新令牌。每个刷新令牌和访问令牌都有不同的秘密（因为如果它们有相同的秘密，则有人可以使用刷新令牌访问资源）
2. 如果令牌过期，angular应访问endpoint/刷新令牌，在此endpoint上发送标题“授权”：“承载刷新密钥值”，并获取新的刷新令牌和访问令牌

Answer 1

请确保您遵循RFC更多关于相同的细节：

https://datatracker.ietf.org/doc/html/rfc6749#page-10

再看看这里的安全威胁和缓解措施——https://datatracker.ietf.org/doc/html/rfc6750#section-5.1

你指的是象征性的披露

为了防止令牌泄露，必须使用TLS[RFC5246]和提供机密性和完整性保护的密码套件应用机密性保护。这要求客户机和授权服务器之间的通信交互，以及客户机和资源服务器之间的交互，利用机密性和完整性保护。由于TLS必须实现并与本规范一起使用，因此它是防止通过通信信道泄露令牌的首选方法。对于阻止客户端观察令牌内容的情况，除了使用TLS保护外，还必须应用令牌加密。作为对令牌泄露的进一步防御，客户端在向受保护资源发出请求时必须验证TLS证书链，包括检查证书吊销列表（CRL）[RFC5280]。