Как работают токены обновления и как их следует хранить и ротировать?

Обновить концепцию токена:

• Цель: используется для получения новых токенов доступа без необходимости повторного входа пользователя в систему.
• Срок действия: срок действия дольше, чем у токенов доступа (например, дни или недели).
• Безопасность: данные должны храниться и проверяться в безопасном месте во избежание злоупотреблений.
• Ротация: новый токен обновления выдается каждый раз при его использовании, а старый аннулируется.

Рекомендации по хранению:

• Файлы cookie только для HTTP: для клиентов браузера для защиты от XSS.
• Безопасное хранилище на стороне сервера: Redis или база данных для отслеживания выданных токенов.
• Избегайте localStorage: уязвимо для XSS-уязвимостей.

Пример реализации:

const crypto = require('crypto');
const jwt = require('jsonwebtoken');

// Generate tokens
function generateTokens(user) {
  const accessToken = jwt.sign({ userId: user.id }, process.env.JWT_SECRET, {
    expiresIn: '15m',
  });

  const refreshToken = crypto.randomBytes(64).toString('hex');

  // Save refresh token in DB
  saveRefreshTokenToDB(refreshToken, user.id);

  return { accessToken, refreshToken };
}

// Endpoint to refresh token
app.post('/auth/refresh', async (req, res) => {
  const { refreshToken } = req.body;

  const stored = await findRefreshTokenInDB(refreshToken);

  if (!stored || stored.expiresAt < new Date()) {
    return res.status(403).json({ error: 'Invalid refresh token' });
  }

  // Invalidate old token
  await invalidateToken(refreshToken);

  // Issue new tokens
  const user = await findUserById(stored.userId);
  const tokens = generateTokens(user);

  res.json(tokens);
});

Лучшие практики:

• Храните токены обновления с метаданными (IP-адрес, пользовательский агент).
• Используйте ротацию токенов обновления и отзывайте старые.
• Обнаружение повторного использования недействительных токенов обновления (потенциальное нарушение).
• Ограничьте срок службы токена и внедрите процедуры очистки.
• Рассмотрите возможность хранения хешированных токенов в базе данных.

Итог

Ключевой вывод для интервью: как работают токены обновления и как их следует хранить и ротировать?