عند إنشاء تطبيقات ويب آمنة ، يعد اختيار آلية المصادقة الصحيحة أمرًا بالغ الأهمية. اليوم ، نحن نستكشف نهجين مستخدمين على نطاق واسع: المصادقة المستندة إلى الجلسة و JSON Web Tokens (JWTS) . من خلال فهم مهام سير العمل والمزايا والمقاييس الخاصة بهم ، ستكون مجهزًا لتحديد أي واحد يناسب طلبك.

مصادقة قائمة على الجلسة

إليك كيفية عمل المصادقة المستندة إلى الجلسة:

1. تسجيل الدخول وإنشاء الجلسة :

   • يرسل المستخدم بيانات اعتماد تسجيل الدخول إلى الخادم.
   • يتحقق الخادم منها ، وإذا كان صالحًا ، ينشئ جلسة.
   • يتم تخزين بيانات الجلسة (على سبيل المثال ، معرف المستخدم ، وقت انتهاء الصلاحية) على الخادم في قاعدة بيانات أو ذاكرة التخزين المؤقت مثل redis.

2. معرف الجلسة :

   • يرسل الخادم معرف جلسة فريد إلى العميل ، عادةً كملف تعريف ارتباط.

3. الطلبات اللاحقة :

   • يرسل العميل تلقائيًا ملف تعريف ارتباط معرف الجلسة مع كل طلب.
   • يستخدم الخادم هذا المعرف لاسترداد بيانات الجلسة ومصادقة المستخدم.

مفتاح الفوائد :

• سهلة الإلغاء : يمكن إبطال جلسة في أي وقت عن طريق حذف بيانات الجلسة.
• الأمان المركزي : تبقى المعلومات الحساسة على الخادم.

تحديات :

• الأنظمة الموزعة : في بيئات خادم متعددة ، تحتاج جميع الخوادم إلى الوصول إلى بيانات الجلسة نفسها ، والتي تتطلب متجر جلسة مركزي مثل Redis.
• تمت إضافة الكمون : يضيف بيانات جلب جلسة البيانات العامة إلى كل طلب.

المصادقة المستندة إلى JWT

jwts تتبع نهجًا مختلفًا:

1. تسجيل الدخول والجيل المميز :

   • يرسل المستخدم بيانات اعتماد تسجيل الدخول إلى الخادم.
   • يتحقق الخادم منها وينشئ JWT موقّع يحتوي على بيانات المستخدم.
   • يقوم العميل بتخزين JWT (على سبيل المثال ، في التخزين المحلي أو ملف تعريف الارتباط).

2. الطلبات اللاحقة :

   • يرسل العميل JWT في رؤوس الطلب.
   • يتحقق الخادم من توقيع الرمز المميز ويستخدم بياناته للمصادقة.

مفتاح الفوائد :

• عديمي الجنسية وقابلة للتطوير : لا يتم تخزين بيانات الجلسة على الخادم ، مما يجعل JWTS مثالية للتطبيقات القابلة للتطوير أفقيًا.
• توافق بين الخدمة : في بنية الخدمات الدقيقة ، يمكن للخدمات الوثوق بالبيانات في JWT تم التحقق منها دون الاستعلام عن خدمة المصادقة.

تحديات :

• الرمز المميز : إذا سرقت ، يكون JWT صالحًا حتى تنتهي صلاحيته.
• مقايضات الأمان : يجب على الخادم تطبيق آليات مثل تحديث الرموز لتحسين الأمان.

أمان JWT: اختيار خوارزمية التوقيع الصحيحة

• HMAC : يتم استخدام مفتاح متماثل للتوقيع والتحقق. بسيط ولكن يتطلب مشاركة المفتاح ، والذي قد يشكل مخاطر.
• RSA/ECDSA : تتأكد المفاتيح غير المتماثلة من علامات الرموز الخاصة بينما يتحقق المفتاح العمومي ، مما يعزز الأمان للأنظمة الموزعة.

متى تستخدم كل طريقة

مصادقة قائمة على الجلسة :

• مثالية عندما تحتاج إلى إلغاء جلسة فورية.
• مناسبة للتطبيقات مع متجر بيانات مركزي.
• يحافظ على بيانات حساسة على الخادم ، مما يعزز الأمان.

المصادقة المستندة إلى JWT :

• الأفضل للبنى القابلة للتطوير.
• مفيد في الخدمات الدقيقة أو عند مشاركة بيانات المصادقة مع خدمات الطرف الثالث.
• إقران JWTS مع رموز تحديث لتوازن الأمن وتجربة المستخدم.

في النهاية ، يعتمد اختيارك على بنية التطبيق ومتطلبات التحجيم واحتياجات الأمان. سواء كنت تذهب مع الجلسات أو JWTs ، فإن فهم هذه الآليات يضمن تجربة مستخدم آمنة وسلسة.