ब्राउज़रों में JWT टोकन स्टोर करने के बारे में

तो कहाँ स्टोर करें?

1. स्थानीय भंडारण / सत्र भंडारण - विधि सुरक्षित नहीं है और XSS जैसे हमलों के लिए अतिसंवेदनशील है, खासकर यदि आप स्क्रिप्ट को तीसरे पक्ष के सीडीएन से जोड़ते हैं (अखंडता विशेषता को 100% सुरक्षा की गारंटी नहीं दे सकते हैं), या आप सुनिश्चित नहीं हैं कि कनेक्ट होने वाली स्क्रिप्ट में डेटा को "मर्ज" करने की क्षमता नहीं है। किनारे पर भंडारण की सुविधा। इसके अलावा, यदि स्थानीय संग्रहण टैब के बीच उपलब्ध है, तो सत्र संग्रहण केवल एक टैब में उपलब्ध है और साइट को एक नए टैब में खोलने से केवल टोकन / प्राधिकरण के एक नए दौर का कारण होगा।
2. , , fetch . – .
3. Cookies. «» cookie sessions. Access cookie CSRF. XSS . CSRF Cookie SameSite Strict– , , credentials, CSRF .
   – Access JS httpOnly, Secure .
   
   एक महत्वपूर्ण बिंदु केवल कुकी को डोमेन / पथ एपि के लिए सेट करना है ताकि सार्वजनिक स्टेटिक्स के अनुरोध हेडर में ओवरहेड न हों।

इसका परिणाम क्या है?

1. स्थिर फ़ाइलों (सार्वजनिक छवियों / शैलियों / js फ़ाइलों) का अनुरोध करते समय ओवरहेड से बचने के लिए डोमेन / पथ एपीआई के लिए स्थापित किया जाए।
2. एक सुरक्षित ध्वज रखें (केवल https के माध्यम से स्थानांतरण के लिए)।
3. HttpOnly ध्वज (जावास्क्रिप्ट से एक्सेस करने में असमर्थता के लिए) है।
4. CSRF के हमलों से बचाने के लिए सेमसाइट विशेषता सख्त होनी चाहिए , कुकी के हस्तांतरण पर रोक लगा दें यदि आपके एपीआई में संक्रमण कुकी में सेट किए गए डोमेन से नहीं था।

1. सामग्री-सुरक्षा-नीति - संभव XSS हमलों को रोकने के लिए विश्वसनीय डोमेन को प्रतिबंधित करें
2. X- फ्रेम-विकल्प हेडर क्लिकजैकिंग हमलों से बचाने के लिए।
3. X-XSS- सुरक्षा - XSS हमलों के खिलाफ अंतर्निहित ब्राउज़र सुरक्षा तंत्र को जबरन सक्षम करें।
4. X- सामग्री-प्रकार-विकल्प - MIME प्रकारों के प्रतिस्थापन से बचाने के लिए।

सीमाएं