Блог

Я ищу наиболее безопасный способ аутентификации моего веб-приложения с использованием выходящего API, который настроен на выдачу токенов JWT. Текущая настройка:

1. Asp.net основной API, который способен обрабатывать часть управления пользователями.
2. Asp.net серверное приложение core 5.1 blazor, которое используется для обслуживания веб-страниц на стороне клиента. Цель: я хочу, чтобы веб-приложение не имело доступа к базе данных и использовало API для обработки серверной логики.

Один из способов обойти это — заставить JWT сохранить его в виде файла cookie

  services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme).AddCookie(options =>
    {
        int minute = 60;
        int hour = minute * 60;
        int day = hour * 24;
        int week = day * 7;
        int year = 365 * day;

        options.LoginPath = "/auth/login";
        options.AccessDeniedPath = "/auth/accessdenied";
        options.Cookie.IsEssential = true;
        options.SlidingExpiration = true;
        options.ExpireTimeSpan = TimeSpan.FromSeconds(day/2);

        options.Cookie.Name = "access_token";

        options.TicketDataFormat = new CustomJwtDataFormat(
            SecurityAlgorithms.HmacSha256,
            tokenValidationParameters);
    });
 

и передавайте его каждому запросу

 HttpContext.Response.Cookies.Append("access_token", token, new CookieOptions { HttpOnly = true, Secure = true }); 
 

Я также знаю, что существует множество других методов, которые можно использовать для хранения токенов, таких как локальное хранилище, так какой же самый безопасный способ обработки входа в систему на стороне клиента?