Flux de jeton d'actualisation JWT

Je crée une application mobile et j'utilise JWT pour l'authentification.

Il semble que la meilleure façon de procéder consiste à associer le jeton d'accès JWT à un jeton d'actualisation afin que je puisse expirer le jeton d'accès aussi souvent que je le souhaite.

1. À quoi ressemble un jeton d'actualisation? Est-ce une chaîne aléatoire? Cette chaîne est-elle chiffrée? Est-ce un autre JWT?
2. Le jeton d'actualisation serait stocké dans la base de données sur le modèle utilisateur pour l'accès, n'est-ce pas? Il semble qu'il devrait être crypté dans ce cas
3. Vais-je renvoyer le jeton d'actualisation après une connexion utilisateur, puis demander au client d'accéder à un itinéraire distinct pour récupérer un jeton d'accès?

En supposant qu'il s'agit d'OAuth 2.0 puisqu'il s'agit de JWT et de jetons d'actualisation ...:

1. tout comme un jeton d'accès, en principe, un jeton d'actualisation peut être n'importe quoi, y compris toutes les options que vous décrivez; un JWT peut être utilisé lorsque le serveur d'autorisation veut être sans état ou veut appliquer une sorte de sémantique de «preuve de possession» au client qui le présente; notez qu'un jeton d'actualisation diffère d'un jeton d'accès en ce qu'il n'est pas présenté à un serveur de ressources mais uniquement au serveur d'autorisation qui l'a émis en premier lieu, de sorte que l'optimisation de validation autonome pour JWTs-as-access-tokens fait ne pas tenir pour les jetons d'actualisation

2. cela dépend de la sécurité / accès de la base de données; si la base de données est accessible par d'autres parties / serveurs / applications / utilisateurs, alors oui (mais votre kilométrage peut varier en fonction de l'endroit et de la manière dont vous stockez la clé de cryptage ...)

3. un serveur d'autorisation peut émettre à la fois des jetons d'accès et des jetons d'actualisation en même temps, en fonction de la concession utilisée par le client pour les obtenir; la spécification contient les détails et les options sur chacune des subventions standardisées

Voici les étapes à suivre pour révoquer votre jeton d'accès JWT:

1. Lorsque vous vous connectez, envoyez 2 jetons (jeton d'accès, jeton d'actualisation) en réponse au client.
2. Le jeton d'accès aura moins de temps d'expiration et Refresh aura un long délai d'expiration.
3. Le client (frontal) stockera le jeton d'actualisation dans son stockage local et le jeton d'accès dans les cookies.
4. Le client utilisera un jeton d'accès pour appeler les API. Mais lorsqu'il expire, choisissez le jeton d'actualisation dans le stockage local et appelez l'API du serveur d'authentification pour obtenir le nouveau jeton.
5. Votre serveur d'authentification aura une API exposée qui acceptera le jeton d'actualisation, vérifiera sa validité et renverra un nouveau jeton d'accès.
6. Une fois le jeton d'actualisation expiré, l'utilisateur sera déconnecté.

S'il vous plaît laissez-moi savoir si vous avez besoin de plus de détails, je peux également partager le code (Java + Spring boot).

Pour vos questions:

Q1: C'est un autre JWT avec moins de réclamations et un long délai d'expiration.

Q2: Ce ne sera pas dans une base de données. Le backend ne sera stocké nulle part. Ils décrypteront simplement le jeton avec une clé privée / publique et le valideront également avec son heure d'expiration.

Q3: oui, correct

Basé sur cette implémentation avec Node.js de JWT avec un jeton d'actualisation :

1) Dans ce cas, ils utilisent un uid et ce n'est pas un JWT. Lorsqu'ils actualisent le jeton, ils envoient le jeton d'actualisation et l'utilisateur. Si vous l'implémentez en tant que JWT, vous n'avez pas besoin d'envoyer l'utilisateur, car il le ferait à l'intérieur du JWT.

2) Ils implémentent ceci dans un document séparé (tableau). Cela a du sens pour moi, car un utilisateur peut être connecté dans différentes applications clientes et il pourrait avoir un jeton d'actualisation par application. Si l'utilisateur perd un appareil avec une application installée, le jeton d'actualisation de cet appareil peut être invalidé sans affecter les autres appareils connectés.

3) Dans cette implémentation, il répond à la méthode de connexion avec à la fois un jeton d'accès et un jeton d'actualisation. Cela me semble correct.