• はてなブックマーク
  • テクノロジー
  • どうして JWT をセッションに使っちゃうわけ？ - co3k.org
  • Twitterでシェア
  • Facebookでシェア

どうして JWT をセッションに使っちゃうわけ？ - co3k.org

テクノロジー カテゴリーの変更を依頼 記事元:co3k.org
適切な情報に変更
733 usersがブックマーク コメント60

    記事へのコメント60件

    • 注目コメント
    • 新着コメント
    auth0
    auth0 ちょっと反論気味の記事書いた。　https://auth0.hatenablog.com/entry/2018/09/21/004131

    2018/09/21 リンク

    その他
    kwhrtsk
    kwhrtsk マイクロサービス化しないとメリットは実感できないと思う。簡単に単一のセッションDBを運用できるような規模のうちは、JWTをセッションに使うのは牛刀。

    2018/09/20 リンク

    その他
    suginoy
    suginoy Railsユーザーとしては「Ruby on Rails の "デフォルトの" セッション管理機構」と書いてほしいかな。細かいけど。

    2018/09/20 リンク

    その他
    co3k
    co3k ※タイトルについて調整中です。お騒がせして申し訳ありません/ id:suginoy そのように修正しました/ id:nakag0711 対策してみました/ id:iktakahiro それらはOIDCですね。罠を踏みやすいという点を除きJWTは問題視してません

    2018/09/20 リンク

    その他
    knjname
    knjname （自分でも）普通にここらへんのことは考えるかなあ。トークンのrevokeについては要件次第。むしろ通信に自動でくっついちゃうcookieが厄介ということも言えるわけで。

    2018/09/20 リンク

    その他
    snowcrush
    snowcrush なんで全体で鍵を共有する前提なんだろう？ユーザー毎に鍵生成じゃダメなんだっけ。

    2018/09/20 リンク

    その他
    n314
    n314 うーん…結局JWTは何が利点なんだろう。

    2018/09/20 リンク

    その他
    esodov
    esodov 「cookie の HttpOnly フラグの保護を受けない」はjwtだからじゃなくてwebストレージだからではないの？/ドメイン跨いで認可するならcookie使えない以上jwtをwebストレージで使うしかないよね。跨がないならセッションでもいい。

    2018/09/21 リンク

    その他
    ifttt
    ifttt 高菜食べちゃったら怒りそう

    2018/09/20 リンク

    その他
    iktakahiro
    iktakahiro Firebase も Auth0 も Refresh Token + JWT ですけど見解が聞きたい。認証はともかく認可のステップまでまじめに考えるとどっかしらで DB 参照せざるを得なく 'ステートレス' にはならないんですよね。

    2018/09/20 リンク

    その他
    ksss9
    ksss9 セキュリティ難しい……。

    2021/03/10 リンク

    その他
    kazkun
    kazkun 社内でJWT使えば便利だし手間もコストも減るよ、という提案があってこの記事を思い出した。これ見てリスクに気づいてもらえれば良いんだが。

    2019/12/12 リンク

    その他
    k12u
    k12u “TLS におけるダウングレード攻撃”

    2019/08/28 リンク

    その他
    akatakun
    akatakun サーバ側でのセッション無効化ができない (鍵を無効化し、発行済セッション全体を無効化することはできる)

    2019/06/25 リンク

    その他
    ono_matope
    ono_matope ようやく読んだ

    2018/10/05 リンク

    その他
    mkusunok
    mkusunok ID Tokenをセッション管理に使っちゃダメよという話。最近そんな変な実装が増えてるんですかね

    2018/09/22 リンク

    その他
    luccafort
    luccafort 何故使うのか？に対しては多分便利だからが答えなんだと思うんすよね。ただ問題はここで書かれているセキュリティー的な問題とか鍵の管理の問題とかはあるよね？ということなんだけどそれはJWTに限らないからなあ。

    2018/09/21 リンク

    その他
    naari_3
    naari_3 「罠があるからそんなに詳しくない人は使わないほうがいいよ」っていう記事だった、タイトルが過激なだけ

    2018/09/21 リンク

    その他
    infobloga
    infobloga 「そんなこと知らないで使う奴いたのか？」レベルのことしか書いてなくてゲンナリ。JWTでトークンのリフレッシュ対策できない奴は、CookieのCSRF対策もできないだろうから、どっちも使わず寝てたほうが良い

    2018/09/21 リンク

    その他
    esodov
    esodov 「cookie の HttpOnly フラグの保護を受けない」はjwtだからじゃなくてwebストレージだからではないの？/ドメイン跨いで認可するならcookie使えない以上jwtをwebストレージで使うしかないよね。跨がないならセッションでもいい。

    2018/09/21 リンク

    その他
    ry_mizuki
    ry_mizuki “そこまでしてステートレスに JWT を使わなくてはいけないか？ というのは熟考しまくったほうがいい”

    2018/09/21 リンク

    その他
    taguch1
    taguch1 その発想がない。

    2018/09/21 リンク

    その他
    auth0
    auth0 ちょっと反論気味の記事書いた。　https://auth0.hatenablog.com/entry/2018/09/21/004131

    2018/09/21 リンク

    その他
    braitom
    braitom “ (ステートレスな) JWT をセッションに使うことは、セッション ID を用いる伝統的なセッション機構に比べて、あらゆるセキュリティ上のリスクを負うことになります。”

    2018/09/21 リンク

    その他
    mi_kattun
    mi_kattun この問題は参照先の記事も含めて考えたことあるけどCookieとWeb Storageの比較は妥当なのかな？任意のJSを実行可能ならトークンを盗む必要性は薄いのでは。参考: https://postd.cc/web-storage-the-lesser-evil-for-session-tokens/

    2018/09/21 リンク

    その他
    love0hate
    love0hate 署名による認証の問題・セッションストアとして使うことの問題・JWT固有の問題・現実の実装時の問題は分けた方が議論しやすいと思う。／セッションストアとしては使いたくないのには同意

    2018/09/20 リンク

    その他
    iktakahiro
    iktakahiro Firebase も Auth0 も Refresh Token + JWT ですけど見解が聞きたい。認証はともかく認可のステップまでまじめに考えるとどっかしらで DB 参照せざるを得なく 'ステートレス' にはならないんですよね。

    2018/09/20 リンク

    その他
    tekitekitou
    tekitekitou (apiで)user_idしかセッションに保存する情報のないシステムの場合、わざわざjwtをログイン認証に使ったあとuser_idをセッションから引くよりuser_idを直接jwtに入れたらセッションサーバいらなくね？そういう話でない？

    2018/09/20 リンク

    その他
    PEEE
    PEEE flaskのデフォルトのセッション管理もこれなので自前で実装したんだよなあ

    2018/09/20 リンク

    その他
    KoshianX
    KoshianX お、JWT 知らんかった。Firebase とかにも使われてるのかな。今時はバックエンド作らないこともあるだろうし cookie でのセッション管理が難しくなってるのかなあ……。

    2018/09/20 リンク

    その他
    chintaro3
    chintaro3 　GJ

    2018/09/20 リンク

    その他
    zetta1985
    zetta1985 DBが高負荷になりがちで一日に一回必ずセッション切る要件のシステムでJWTによるセッション管理を採用したことがある

    2018/09/20 リンク

    その他
    nakag0711
    nakag0711 なんなんだこのどや顔オーバーレイは。変わったページを作るときはスマホで必ず動作確認すべし／消えた

    2018/09/20 リンク

    その他
    iakio
    iakio なるほど。JWKってそういう風に使うものだったのか

    2018/09/20 リンク

    その他
    xlc
    xlc JWTでググると「セッションデータに使えるぜ！」というQiitaの記事がヒットするからでは？

    2018/09/20 リンク

    その他
    ledsun
    ledsun 「JWTをセッションストアとして使うと、サーバー側にセッションストアを用意しなく良い。が、cookie storeと比べてメリットはないので、（使えるなら）枯れた既存実装があるcookie store使えばよくね？」という話でいい？

    2018/09/20 リンク

    その他
    onesplat
    onesplat Cookieというストレージ&デリバリの問題と、その値の問題は分けて考えた方が良い。クッキーにJWSを詰めるという手もあるので。ちなみにrevokeはブラックリストなのでJWTだとサイズを小さくできるというメリットはある

    2018/09/20 リンク

    その他
    kwhrtsk
    kwhrtsk マイクロサービス化しないとメリットは実感できないと思う。簡単に単一のセッションDBを運用できるような規模のうちは、JWTをセッションに使うのは牛刀。

    2018/09/20 リンク

    その他
    tohokuaiki
    tohokuaiki 最初しか読んでないけど「初カキコ…ども…」のコピペを思い出しました。

    2018/09/20 リンク

    その他
    mole-studio
    mole-studio メール認証で送りつけるURLに付けるくらいしか使い道が思いつかない

    2018/09/20 リンク

    その他

    注目コメント算出アルゴリズムの一部にLINEヤフー株式会社の「建設的コメント順位付けモデルAPI」を使用しています

    アプリのスクリーンショット
    いまの話題をアプリでチェック！
    • バナー広告なし
    • ミュート機能あり
    • ダークモード搭載
    アプリをダウンロード

    関連記事

    どうして JWT をセッションに使っちゃうわけ？ - co3k.org

    備考 2018/09/21 22:15 追記 2018/09/20 12:10 に公開した「どうして JWT をセッションに使っちゃうわけ...

    ブックマークしたユーザー

    • youko032023/12/19 youko03
    • knj29182023/07/10 knj2918
    • techtech05212023/05/30 techtech0521
    • tsukaby2023/04/27 tsukaby
    • reannkara2023/03/26 reannkara
    • y-ohgi2023/01/19 y-ohgi
    • huruyosi2022/03/06 huruyosi
    • ko19792022/02/14 ko1979
    • mkusaka2022/02/13 mkusaka
    • yoppe95092021/11/02 yoppe9509
    • matsuoshi2021/10/04 matsuoshi
    • dealforest2021/05/22 dealforest
    • rokujyouhitoma2021/03/15 rokujyouhitoma
    • ksss92021/03/10 ksss9
    • tasukuchan2021/01/26 tasukuchan
    • hajimepg2021/01/10 hajimepg
    • Ehren2020/11/10 Ehren
    • vine_hate2020/06/15 vine_hate
    すべてのユーザーの
    詳細を表示します

    同じサイトの新着

    同じサイトの新着をもっと読む

    いま人気の記事

    いま人気の記事をもっと読む

    いま人気の記事 - テクノロジー

    いま人気の記事 - テクノロジーをもっと読む

    新着記事 - テクノロジー

    新着記事 - テクノロジーをもっと読む

    同時期にブックマークされた記事

    はてなブックマーク

    公式Twitter

    はてなのサービス

    • App Storeからダウンロード
    • Google Playで手に入れよう
    Copyright © 2005-2024 Hatena. All Rights Reserved.