GETリクエストのクエリパラメータとしてjwtをURLに入れても安全ですか？

Question

GETリクエストのクエリパラメータとして、jwt（json webトークン）をURLに入れても安全ですか？

Answer 1

これは以下の状況で安全であることができる：

1. JWTは、ワンタイム時間の使用のみ
2. jtiとexp特許請求の範囲は、受信機が正しく再生保護を実装するトークン
3. で存在しますjtiとexp

を使用していますが、繰り返すことができるトークンとして使用される場合例えば使用することができる。 APIに対してクエリパラメータとして供給することは、サーバーやクライアントシステムにアクセスできる他のユーザーが利用できるログやシステムプロセス情報になる可能性があるため、あまり好ましくありません。その場合、ヘッダーまたはPOSTパラメーターの一部として提示するほうがよいでしょう。

さらに、クエリパラメータでこれを使用すると、ブラウザやサーバーのURLサイズの制限に合わせて実行することができます。ヘッダーでそれを使用すると、POSTパラメーターが最もうまくいくので、それを使用してスペースを増やすことができます。

Answer 2

URLに機密情報を含めないでください。 jwtを暗号化し、GETメソッドを使用してURLに含めることができます。ただし、ハッカーの中には機密情報が含まれていると問題を引き起こすものもあります。したがって、機密でない場合は、それを含めることができます。そうでなければ、POSTやセッションのような別の方法を使用します。