È sicuro inserire un jwt nell'URL come parametro di query di una richiesta GET?

Question

È sicuro inserire un jwt (token web json) nell'URL come parametro di query di una richiesta GET?

Answer 1

Può essere sicuro nei seguenti casi:

1. la JWT è tempo di utilizzo sola volta
2. le jti e exp rivendicazioni sono presenti nel token
3. ricevitore implementa correttamente la protezione della riproduzione utilizzando jti e exp

ma nel caso in cui viene utilizzato come un token che può essere ripetuto essere usato per es. rispetto a un'API, quindi la fornitura come parametro di query è meno preferibile in quanto potrebbe finire nei registri e nelle informazioni di processo del sistema, disponibili per gli altri che hanno accesso al server o al sistema client. In tal caso sarebbe meglio presentarlo come parte di un'intestazione o di un parametro POST.

Oltre a ciò, utilizzandolo nei parametri di query è possibile eseguire limitazioni di dimensioni URL su browser o server; utilizzarlo in un'intestazione fornisce un po 'più di spazio, usandolo come un parametro POST funzionerebbe meglio.

Answer 2

Non è necessario includere informazioni riservate nell'URL. Puoi crittografare il jwt e includerlo nell'URL utilizzando il metodo GET. Tuttavia, ricorda che alcuni hacker potrebbero essere in grado di decodificarlo, il che sarà un problema se contiene informazioni riservate. Quindi, se non è riservato, puoi includerlo, altrimenti usa un metodo diverso come, POST o sessione.