أفضل ممارسات أمان JWT لتطبيقات الويب

رموز JSON Web (JWT) هي المعيار السائد للمصادقة عديمة الحالة في تطبيقات الويب الحديثة. تُستخدم في OAuth 2.0 و OpenID Connect وواجهات API لا حصر لها. لكنها كثيراً ما تُساء استخدامها.

كيف تعمل JWT

يتكون JWT من ثلاثة أجزاء: الرأس والحمولة والتوقيع. الأهم أن JWT مُرمَّز وليس مُشفَّراً — يمكن لأي شخص قراءة محتوياته.

تخزين الرموز

• localStorage — مريح لكن عرضة لهجمات XSS.
• ملفات تعريف الارتباط (HttpOnly) — محصّنة ضد XSS. النهج الموصى به.
• في الذاكرة — الأكثر أماناً لكن تُفقد عند تحديث الصفحة.

الانتهاء والتحديث

رموز الوصول قصيرة العمر (5-15 دقيقة) مع رموز تحديث أطول هو المعيار. يجب أن تكون رموز التحديث للاستخدام مرة واحدة.

المطالبات الأساسية

• exp — وقت الانتهاء
• iat — وقت الإصدار
• iss — المُصدر
• aud — الجمهور
• sub — الموضوع (عادة معرف المستخدم)

افحص رموز JWT مع فاحص JWT — فك الترميز في متصفحك بدون إرسال أي بيانات.