FixVibe
Covered by FixVibehigh

JWT Saogalemu: Tulaga lamatia o Faʻailoga Leʻo Maua ma Faʻamaonia Talosaga Misi

JSON Web Tokens (JWTs) e tuʻuina atu se faʻataʻitaʻiga mo le fesiitaiga o tagi, ae o le saogalemu e faʻalagolago i le faʻamaoniaina malosi. O le le mafai ona fa'amaonia saini, taimi e muta ai, po'o tagata fa'amoemoe e mafai ai e tagata osofa'i ona pasi le fa'amaoni pe toe ta'alo fa'ailoga.

CWE-347CWE-287CWE-613

Aafiaga o le Tagata osofa'i

O le fa'amaoniaina ole JWT e mafai ai e tagata osofa'i ona pasia auala fa'amaonia e ala i le fa'ailogaina o tagi po'o le toe fa'aaogaina o fa'ailoga ua uma le aoga [S1]. Afai e talia e le 'auʻaunaga faʻailoga e aunoa ma se saini faʻamaonia, e mafai e le tagata osofaʻi ona suia le uta e faʻateleina avanoa pe faʻafoliga i soʻo se tagata faʻaoga [S1]. E le gata i lea, o le le mafai ona faʻamalosia le faʻamutaina (exp) tagi e mafai ai e le tagata osofaʻi ona faʻaogaina se faʻailoga fetuutuunai e le gata [S1].

Mafua'aga

O le JSON Web Token (JWT) o se fausaga faʻavae JSON e faʻaaogaina e fai ma sui o tagi o loʻo sainia faʻafuainumera poʻo le faʻamaoni puipuia [S1]. O faaletonu o le saogalemu e masani lava ona mafua mai i le lua o le faatinoga o avanoa:

  • Taliaina o JWT Le'o Fa'asaoina: Afai e le fa'amalosia e se 'au'aunaga le fa'amaoniaina o saini, e mafai ona fa'agasolo "JWTs Le'o" pe a leai le saini ma fa'atulaga le algorithm i le "leai" [S1]. I lenei faʻataʻitaʻiga, e faʻatuatuaina e le 'auʻaunaga ia tagi i le uta e aunoa ma le faʻamaoniaina o latou faʻamaoni [S1].
  • Missing Claim Validation: O le talosaga a le exp (taimi e muta ai le taimi) e iloa ai le taimi i luga poʻo le maeʻa ai e le tatau ona talia le JWT mo le faʻagaioiina o le [S1]. O le talosaga a le aud (fa'alogologo) e fa'ailoa mai ai tagata fa'amoemoe e mauaina le fa'ailoga [S1]. Afai e le siakiina, e mafai e le 'auʻaunaga ona talia faʻailoga ua maeʻa pe na faʻamoemoe mo se isi talosaga [S1].

Fa'atonu Sima

  • Fa'amalosia Saini Fa'amaufa'ailoga: Fa'atulaga le talosaga e te'ena so'o se JWT e le fa'aaogaina se algorithm saini malosi na mua'i fa'amaonia (pei o le RS256).
  • Fa'amaonia le Fa'amutaina: Fa'atino se siaki fa'atulafonoina e fa'amautinoa ai o le aso ma le taimi o lo'o iai nei a'o le'i o'o i le taimi o lo'o fa'amaoti mai ile exp tagi [S1].
  • Verify Audience: Ia mautinoa o le tagi a le aud o lo'o i ai se tau e iloa ai le auaunaga i le lotoifale; pe afai e le o faailoaina le auaunaga i le aud tagi, e tatau ona teena le faailoga [S1].
  • Prevent Replay: Faaaoga le jti (JWT ID) fai mai e tuʻuina atu se faʻamatalaga tulaga ese i faailoga taʻitasi, faʻatagaina le server e siaki ma teena faʻailoga toe faʻaaogaina [S1].

Taiala Su'esu'e

E mafai ona iloa le fa'aletonu ile JWT e ala ile su'esu'eina ole fa'ailoga fa'ailoga ma le amio tali a le server:

  • Su'esu'ega o le Ulua'i: Siaki le ulutala alg (algorithm) ina ia mautinoa e le o setiina i le "leai" ma fa'aogaina tulaga fa'ata'otoga fa'amoemoeina [S1].
  • Talosaga Fa'amaoniga: Fa'amaonia le iai ma le fa'amaonia o le exp (fa'amuta) ma le aud (fa'alogologo) tagi i totonu o le JSON payload [S1].
  • Su'ega Fa'amaonia: Su'ega pe a teena sa'o e le 'au'aunaga fa'ailoga ua mae'a e tusa ai ma le tagi a le exp po'o le fa'amoemoe mo se isi au maimoa e pei ona fa'amatalaina e le aud tagi [S1].