2

Estou utilizando um sistema que, utiliza a passagem de JWT tokens para autenticação, o problema é que eu posso facilmente coletar os headers das chamadas de API e pegar meu token para poder requisitar o que quiser e pegar os dados de qualquer usuário. Acredito que os programadores estão somente bloqueando a rota com base neste codigo:

Route::group(['middleware' => 'jwt.auth'], function() 

Gostaria de saber algo para suprir esse problema(uma segunda autenticação ou método de bloqueio para que usuários que tenham token não possam coletar informações de outros usuários e informar os programadores, pois tenho receio de ter meus dados coletados por algum outro usuário com segundas intenções.

1 Resposta 1

1

A spec do JWT token prevê esse caso perfeitamente.

Somente validar se existe ou não o token é uma baita brecha de segurança e deve ser completamente evitado.

Um token JWT é uma string cifrada que contém informações a respeito de quem emitiu aquele token (sua aplicação) e qual é o sujeito daquele token (o usuário) além de outras tantas informações.

Você primeiro precisa ter certeza que seu backend está gerando o token com essas informações, depois toda vez que uma requisição for enviada ao seu backend é preciso decifrar esse token e extrair as informações não apenas verificando sua existência como você disse que está sendo feito atualmente.

Abaixo coloco alguns links da especificação JWT com detalhes dos campos e validações.

  • Campos iss e sub são os que eu mencionei para armazenar as informação de qual aplicação e para quem o token foi gerado.

https://www.rfc-editor.org/rfc/rfc7519#page-9

  • Como gerar e validar JWT tokens

https://www.rfc-editor.org/rfc/rfc7519#page-13

Não conheço Laravel mas uma simples busca no Google me retornou uma biblioteca que já implementa a especificação do JWT.

https://github.com/tymondesigns/jwt-auth

Espero ter ajudado.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .