シングルページアプリケーションJWT、トークンリフレッシュと長寿命トークン

Question

私はシングルページアプリケーションを開始しています.Javascript Webトークンを使用してクライアント側（JSクライアントとサーバーAPI）を認証しています。

私のアプリでは、ユーザーは認証情報（アプリ認証、Facebook、Google）を提供し、サーバーはユーザーの存在をチェックしてトークンを返します。

クライアントJSは、Server APIを使用するために各リクエストにトークンを追加します。

トークンが発行されると、有効期限と最大リフレッシュ時間があります。トークンの有効期限が短く、リフレッシュ時間が「良い」の場合、トークンをリフレッシュするタイミングを知る必要があります。私が今までに見つけた最良の方法は、トークンが期限切れになっている（5分前に）ときにクライアントをチェックして、リフレッシュ要求を発行することです。それから私は新しいトークンを取得します。これは、最大リフレッシュ時間に達するまで実行できます。次に、ユーザーは再認証する必要があります。

私が見てきた別のアプローチ、トークンがほとんどであるか、単に期限が切れている場合は、サーバー上で、それは自動リフレッシュされますし、クライアントに返されていることである（トークン変化を検出し、それを保存するために持っている）

しかし...これとの違いは何ですか？単一のトークンを持っているのは "良い"セシオン時間ですか？

1つの長いトークンを持つよりも、何回も認証することなく更新できる短い存続トークンを持っていますか？

Answer 1

短命トークンを使用する主な理由は、敵対者がセッション資格情報（この場合はトークン）を盗み、犠牲者のセッションで悪意を持って行動した場合、session hijackingを守ることです。トークンの存続期間が短くなればなるほど、攻撃者は計画した悪意のある活動を実行する時間が短くなります。