使用 jwt 进行鉴权, 刷新 token 功能相对于仅仅使用 access-token 在安全上体现在什么方面?
dadovicn · 2020-04-28 14:43:47 +08:00 · 3264 次点击这是一个创建于 1652 天前的主题，其中的信息可能已经有所发展或是发生改变。
查资料讲刷新 token 可以解决 access_token 过期的问题, 刷新 token 一般过期时间要设置的比 access_token 要长一些, 如果说仅仅是解决过期时间的问题, 我可以直接将 access 的过期时间延长就行, 使用刷新 token 的方式能以使用者无感的方式延长 access_token 的有效期, 安全上有提升吗? 具体是哪些方面呢?
12 条回复 • 2020-04-29 09:50:52 +08:00
 |
1
maichael 2020-04-28 15:00:39 +08:00  2
老生常谈的问题了，token 的安全性和它的使用频率负相关，而 access_token 的使用频率非常高，所以如果将 access_token 的有效期延长，会导致泄漏后损失加大，而 refresh_token 的使用频率相对低很多，安全性也要更高，通过引入 refresh_token，能在保证 access_token 泄漏后损失不加大的前提下，延长 token 的有效期。
|
 |
2
w292614191 2020-04-28 15:04:55 +08:00 via iPhone
我设置 8 小时到期，系统使用人员他们 9 点上班。
|
 |
3
shengchen11 2020-04-28 15:06:12 +08:00
其实可以想一下为啥要用 token，直接用 username 和 password 还能永久有效呢，使用 access token + refresh token 不过是安全与便捷的一个折中点，对安全的提升肯定是有的
|
 |
4
dadovicn OP @maichael refresh_token 跟 access_token 一样存储在客户端吗? 在客户端的话 需要考虑 refresh_token 和 access_token 一起泄露吗
|
|
5
maichael 2020-04-28 16:16:51 +08:00
@dadovicn #4 refresh_token 和 access_token 一起泄漏，就等同于一个长有效期的 access_token 泄漏，后者怎么处理，前者就怎么处理。
|
 |
6
xuanbg 2020-04-28 16:35:09 +08:00
JWT 这种机制安全性并不高，但就是这个并不高的安全性，对一般的应用来说都已经足够了。这个世界上不存在绝对的安全，所以我们在选择安全机制的时候，要充分评估自身的安全需求。一切按需求来就行，没有必要追求更高的安全性。
|
 |
7
liuxiaohua 2020-04-28 22:23:04 +08:00 via iPhone
楼主用的是那个 jwt 包，我用的 Java-jwt 这个包（这个包好像不带刷新 token 过期时间方法），没做刷新机制，设置 12 小时过期，过期给提示从新登录就行了。
|
 |
8
zhigang1992 2020-04-28 23:51:28 +08:00 via Android
Access token 放 header 防止 CSRF, Refresh token 应该是用 httpOnly 的 cookie 来防止 XSS. Jwt 自带鉴权，可以在分布式，微服务里面独立 verify，无需一个 centralized auth 服务。而 refresh token 用来做用户管理，revoke, 禁用用户，权限管理配置等等。
|
 |
9
Kyle18Tang 2020-04-29 00:40:23 +08:00
@zhigang1992 移动端 cookie 好处理吗？我们目前也在用 OAuth2 JWT
|
|
10
zhigang1992 2020-04-29 09:42:30 +08:00
@Kyle18Tang 没有区别的呀，除非是跨域的时候有些浏览器默认不发 Cookie 。移动端和桌面在这里应该是没有区别的。
|
|
11
Kyle18Tang 2020-04-29 09:46:31 +08:00
@zhigang1992 #10 H5 没问题，我想问的是原生安卓和 iOS 这种 API 能不能支持 Cookie，我们现在做的 refresh_token 不是很好，当时有参考用 Cookie，但是对原生不了解，就没有用。
|
|
12
zhigang1992 2020-04-29 09:50:52 +08:00
@Kyle18Tang 原生 App 不怕 CSRF 和 XSS，直接放 Header 里面就好 imo
|
Select Language