(Translated by https://www.hiragana.jp/)
JWTの人気記事 127件 - はてなブックマーク

検索けんさく対象たいしょう

並ならび順じゅん

ブックマーク数すう

期間きかん指定してい

  • から
  • まで

1 - 40 件けん / 127件けん

新着しんちゃく順じゅん 人気にんき順じゅん

JWTの検索けんさく結果けっか1 - 40 件けん / 127件けん

JWTに関かんするエントリは127件けんあります。 認証にんしょう、 security、 セキュリティ などが関連かんれんタグです。 人気にんきエントリには 『ちょっとでもセキュリティに自信じしんがないなら、 Firebase Authentication を検討けんとうしよう』などがあります。

JWTの関連かんれんエントリー

  • ちょっとでもセキュリティに自信じしんがないなら、 Firebase Authentication を検討けんとうしよう

    note のやらかしのあのへんについて。 認証にんしょう自作じさく、 Rails 、 Devise - Diary パーフェクト Rails 著者ちょしゃが解説かいせつする devise の現代げんだい的てきなユーザー認証にんしょうのモデル構成こうせいについて - joker1007’s diary 認証にんしょうサーバーの実装じっそうは本質ほんしつ的てきに難むずかしいです。セキュリティが絡からむものは「簡単かんたんな実装じっそう」などなく、プロアマ個人こじん法人ほうじん問とわず、個人こじん情報じょうほうを守まもるという点てんで、同おなじ水準すいじゅんを要求ようきゅうされます。悪意あくいあるハッカーは常つねにカモを探さがしていて、もし認証にんしょうが破やぶられた場合ばあい、自分じぶんだけではなく大だい多数たすうに迷惑めいわくが掛かかります。初心者しょしんしゃだから免責めんせきされるといったこともありません。全員ぜんいんが同おなじ土俵どひょうに立たたされています。 とはいえ、認証にんしょう基盤きばんを作つくらないといろんなサービスが成立せいりつしません。そういうときにどうするか。 Firebase Authentication で、タイトルの件けんなんですが、 Firebase Authenticat

      ちょっとでもセキュリティに自信がないなら、 Firebase Authentication を検討しよう

    • 認証にんしょうと認可にんかの超ちょうサマリ　OAuth とか OpenID Connect とか SAML とかをまとめてざっと把握はあくする本ほん

      認証にんしょうと認可にんかについての知識ちしきが必要ひつようになったので、基礎きそ的てきなことを学まなんでいます。 一切いっさい何なにも知しらない状態じょうたいから手当てあたり次第しだいに細こまかく調しらべるのは大変たいへんだったので、超ちょうサマリを整理せいりしてみようと思おもいます。 この本ほんは「個々ここの要素ようそに詳くわしくなる必要ひつようはないんだけど、概要がいようくらいはさっと把握はあくしておきたい」とか「手当てあたり次第しだいに詳細しょうさい調査ちょうさをする前まえに、一瞥いちべつしてこれから踏ふみ込こもうとしている領域りょういきの超ちょう俯瞰ふかんマップを作つくる」という感かんじで使つかうことを想定そうていしています。 同おなじ様ような方ほうの役やくに立たったら、とても嬉うれしいです。 この本ほんは筆者ひっしゃの理解りかいに連動れんどうして追記ついき修正しゅうせいされる可能かのう性せいがあります。

        認証と認可の超サマリ　OAuth とか OpenID Connect とか SAML とかをまとめてざっと把握する本

      • HTML5のLocal Storageを使つかってはいけない（翻訳ほんやく）｜TechRacho by BPS株式会社かぶしきがいしゃ

        概要がいよう 原著げんちょ者しゃの許諾きょだくを得えて翻訳ほんやく・公開こうかいいたします。 英語えいご記事きじ: Randall Degges - Please Stop Using Local Storage 原文げんぶん公開こうかい日び: 2018/01/26 著者ちょしゃ: Randall Degges 日本語にほんごタイトルは内容ないように即そくしたものにしました。 画像がぞうは元もと記事きじからの引用いんようです。 初版しょはん公開こうかい: 2019/10/19 追記ついき更新こうしん: 2024/04/05 -- リンク情報じょうほうを記事きじ末尾まつびに移動いどうしました 本気ほんきで申もうし上あげます。local storageを使つかわないでください。 local storageにセッション情報じょうほうを保存ほぞんする開発かいはつ者しゃがこれほど多おおい理由りゆうについて、私わたしにはさっぱり見当けんとうがつきません。しかしどんな理由りゆうであれ、その手法しゅほうは地上ちじょうから消きえてなくなってもらう必要ひつようがありますが、明あきらかに手てに負おえなくなりつつあります。 私わたしは毎日まいにちのように、重要じゅうようなユーザー情報じょうほうをlocal storageに保存ほぞんす

          HTML5のLocal Storageを使ってはいけない（翻訳）｜TechRacho by BPS株式会社

        • SPAのログイン認証にんしょうのベストプラクティスがわからなかったのでわりと網羅もうら的てきに研究けんきゅうしてみた〜JWT or Session どっち？〜 - Qiita

          SPAのログイン認証にんしょうのベストプラクティスがわからなかったのでわりと網羅もうら的てきに研究けんきゅうしてみた〜JWT or Session どっち？〜JavaScriptRailsJWT認証にんしょうReact SPAのログイン周まわりについて、「これがベストプラクティスだ！」という情報じょうほうがあまり見当みあたらないので、様々さまざまな可能かのう性せいを模索もさくしてみました。 いろいろな状況じょうきょうが想定そうていされ、今回こんかい記載きさいする内容ないように考慮こうりょの漏もれや不備ふびなどがありましたら是非ぜひコメントでご指摘してきいただきたいです！特とくに「おすすめ度ど：○」と記載きさいしているものに対たいしての批判ひはんをどしどしお待まちしております！ この記事きじでおすすめしているものであっても、ご自身じしんの責任せきにんで十分じゅうぶんな検討けんとう・検証けんしょうの上うえで選択せんたくされてください。 前提ぜんてい 想定そうていしているAPIは、 ログイン外がいのAPIにはPOST/PUT/DELETEのものがなく、GETのみ GETのAPIにはDBを更新こうしんするなどの操作そうさがない とし、そのためログイン外がいでは

            SPAのログイン認証のベストプラクティスがわからなかったのでわりと網羅的に研究してみた〜JWT or Session どっち？〜 - Qiita

            • JWTの関連かんれんエントリー

          • Microservices における認証にんしょうと認可にんかの設計せっけいパターン

            マイクロサービスにおける認証にんしょうと認可にんかの、一般いっぱん論ろんとしての設計せっけいパターンを調しらべたところ、Web 上じょうの複数ふくすうの記事きじで似にたようなパターンが登場とうじょうしていた。ここでは、まず認証にんしょうと認可にんかが実現じつげんしたい一般いっぱん的てきな要件ようけんと、そのマイクロサービスでの難むずかしさを整理せいりし、認証にんしょうと認可にんかに分わけて調査ちょうさしたパターンをまとめた。 あくまで “一般いっぱん論ろん” なので、実際じっさいには個々ここのドメインにあわせてアレンジが必要ひつよう 往々おうおうにしてこの “アレンジ” に価値かちが宿やどるものだが、まずはセオリーを知しっておきたいというモチベーションで調査ちょうさした Web 上じょうの記事きじを読よんでまとめただけなので、手てを動うごかしての確認かくにんはしておらず、理解りかいが甘あまい部分ぶぶんはご容赦ようしゃください 具体ぐたい的てきな通信つうしん方式ほうしきやサービス間あいだ通信つうしんのセキュリティといった具体ぐたい論ろんまでは踏ふみ込こめていない。このへんはサービスメッシュやゼロトラストネットワークといったトピックが登場とうじょうすると思おもわれる これらは次回じかい以降いこうの Todo としています その

              Microservices における認証と認可の設計パターン

            • Web APIを手作てづくりする時代じだいは終おわった？

              ::: message info これは[フィヨルドブートキャンプ Advent Calendar 2022 Part.1](https://adventar.org/calendars/7760)の25日にち目めの記事きじです。 昨日きのうの記事きじは:@shujiwatanabe:shujiwatanabeさんの[質問しつもんしながら出来できるようにしていく](https://shu91327.hatenablog.com/entry/2022/12/24/091025)と:@saeyama:saeyamaさんの[Rails/Vue 編集へんしゅう時じに画像がぞうをD&Dで入いれ替かえした時ときのActive Storageの保存ほぞん方法ほうほう](https://saeyama.hatenablog.com/entry/2022/12/24/000123)でした。 ::: ↓こういうのを職人しょくにんが丹精たんせい込こめて一ひとつ一ひとつ手作てづくりする時代じだいは終おわりました。 ```sh

                Web APIを手作りする時代は終わった？

              • SPAセキュリティ入門にゅうもん～PHP Conference Japan 2021

                2. 徳丸とくまる浩ひろしの自己じこ紹介しょうかい • 経歴けいれき – 1985年ねん 京きょうセラ株式会社かぶしきがいしゃ入社にゅうしゃ – 1995年ねん 京きょうセラコミュニケーションシステム株式会社かぶしきがいしゃ(KCCS)に出向しゅっこう・転籍てんせき – 2008年ねん KCCS退職たいしょく、HASHコンサルティング株式会社かぶしきがいしゃ(現げん社名しゃめい:EGセキュアソリューションズ株式会社かぶしきがいしゃ)設立せつりつ • 経験けいけんしたこと – 京きょうセラ入社にゅうしゃ当時とうじはCADきゃど、計算けいさん幾何きか学がく、数値すうちシミュレーションなどを担当たんとう – その後ご、企業きぎょう向むけパッケージソフトの企画きかく・開発かいはつ・事業じぎょう化かを担当たんとう – 1999年ねんから、携帯けいたい電話でんわ向むけインフラ、プラットフォームの企画きかく・開発かいはつを担当たんとう Webアプリケーションのセキュリティ問題もんだいに直面ちょくめん、研究けんきゅう、社内しゃない展開てんかい、寄稿きこうなどを開始かいし – 2004年ねんにKCCS社内しゃないベンチャーとしてWebアプリケーションセキュリティ事業じぎょうを立たち上あげ • 現在げんざい – EGセキュアソリューションズ株式会社かぶしきがいしゃ取締役とりしまりやくCTO https://www.eg-secure.co.jp/ –

                  SPAセキュリティ入門～PHP Conference Japan 2021

                • API設計せっけいまとめ - Qiita

                  はじめに 自分じぶんは2021年ねんに新卒しんそつでWeb系けいの開発かいはつ会社かいしゃにフロントエンジニアとして入社にゅうしゃし2022年ねんで2年ねん目めになります。 実務じつむではReact×TypeScriptを利用りようしたフロント周まわりとNode.js(Nest)やRailsを用もちいたバックエンド(API)の開発かいはつをしています。 その中なかで使つかっていたAPI設計せっけいについて改あらためて学まなび直なおしたのでまとめて行いきます。 この記事きじの対象たいしょう者しゃ エンジニア初心者しょしんしゃから中級ちゅうきゅう者しゃ APIについて学まなびを深ふかめたい人ひと この記事きじの目標もくひょう APIについて学まなぶ 我流がりゅうではなく正ただしいAPI設計せっけいについて学まなぶ この記事きじでやらないこと 具体ぐたい的てきにコードを用もちいたAPI設計せっけいの書かき方かたの説明せつめいに関かんしては下記かきの記事きじで解説かいせつをしています。 APIについて APIとは APIは"Application Programming Interface"の略りゃくで、直訳ちょくやくすると「アプリケーションを使つかいプログラミングを使つかってつなぐ」という意味いみ

                    API設計まとめ - Qiita

                  • JWTセキュリティ入門にゅうもん

                    SECCON Beginners Live 2023「JWTセキュリティ入門にゅうもん」の発表はっぴょう資料しりょうです。

                      JWTセキュリティ入門

                    • 攻撃こうげきして学まなぶJWT【ハンズオンあり】 - Money Forward Developers Blog

                      こんにちは。 マネーフォワードの新卒しんそつRailsエンジニア、きなこ と申もうします。 マネーフォワードX という組織そしきで、日々ひびプロダクトの開発かいはつに勤いそしんでおります😊 突然とつぜんですが皆みなさんは JWT という技術ぎじゅつをご存知ぞんじでしょうか？ 私わたしは趣味しゅみでCTFというセキュリティコンテストに出場しゅつじょうするのですが、最近さいきんホットだと感かんじるのがJWTに関連かんれんする攻撃こうげきです。 今年ことしの1月がつに初はじめてJWTを題材だいざいにした問題もんだいに遭遇そうぐうし、その後ごJWTの出題しゅつだい頻度ひんどが強つよまっていると感かんじ、社内しゃないに向むけてJWTにまつわる攻撃こうげきを通とおして学まなぶための記事きじを書かいたところ、たくさんの反応はんのうをいただきました。 今回こんかいの記事きじはその内容ないようを社外しゃがい向むけにアレンジし、ハンズオンを通とおして実際じっさいにJWTを改竄かいざんし、受うけ取とるAPIを攻撃こうげきすることでJWT自体じたいを学まなべるようにしたものです。 本ほん記事きじはJWTに興味きょうみがあるWeb開発かいはつ者しゃを想定そうていしていますが、そうでない方ほうも楽たのしんでいただけるようにハンズオンを用意よういし

                        攻撃して学ぶJWT【ハンズオンあり】 - Money Forward Developers Blog

                      • Webアプリケーションのセッション管理かんりにJWT導入どうにゅうを検討けんとうする際さいの考かんがえ方かた - r-weblife

                        おはようございます、ritou です。 qiita.com これの初日しょにちです。 なんの話はなしか 皆みなさんは今いままで、こんな記事きじを目めにしたことがありませんか？ Cookie vs JWT 認証にんしょうに JWT を利用りようするのってどうなの？ JWT をセッション管理かんりに使つかうべきではない！ リンク貼はるのは省略しょうりゃくしますが、年としに何なん度どか見みかける記事きじです。 個人こじん的てきにこの話題わだいの原点げんてんは最近さいきん IDaaS(Identity as a Service) として注目ちゅうもくを集あつめている Auth0 が Cookie vs Token とか言いう比較ひかく記事きじを書かいたことだと思おもっていますが、今いま探さがしたところ記事きじは削除さくじょされたのか最近さいきんの記事きじにリダイレクトされてるようなのでもうよくわからん。 なのでそれはおいといて、この話題わだいを扱あつかう記事きじは クライアントでのセッション管理かんり : HTTP Cookie vs WebStorage(LocalStorage / Sess

                          Webアプリケーションのセッション管理にJWT導入を検討する際の考え方 - r-weblife

                        • セキュリティ視点してんからの JWT 入門にゅうもん - blog of morioka12

                          こんにちは、ISC 1年ねん IPFactory 所属しょぞくの morioka12 です。 この記事きじは IPFactory Advent Calendar 2020 の10日とおか目めの分ぶんになります。 IPFactory という技術ぎじゅつサークルについては、こちらを参照さんしょうください。 本ほん記事きじの最後さいごに記載きさいされている余談よだんでも IPFactory の詳細しょうさいを紹介しょうかいしています。 はてなブログに投稿とうこうしました #はてなブログ IPFactory Advent Calendar 2020 の10日とおか目めの記事きじを書かきました#JWT #security セキュリティ視点してんからの JWT 入門にゅうもん - blog of morioka12https://t.co/g1MYe77hAF — morioka12 (@scgajge12) 2020年ねん12月がつ10日とおか 普段ふだんは Web Security や Cloud Security 、バグバウンティなどを興味きょうみ分ぶん

                            セキュリティ視点からの JWT 入門 - blog of morioka12

                          • WebアプリケーションでJWTをセッションに使つかう際さいの保存ほぞん先さきは（自分じぶんなりに説明せつめいできれば）どちらでもよいと思おもいます - 日々ひび量産りょうさん

                            以下いかのツイートを読よんで気持きもちが昂たかぶったので。 みんな、もうSNSでいがみ合あうのはやめよう。 平和へいわに好すきなJWTの話はなしでもしようよ。 JWTの格納かくのう場所ばしょはlocalStorageとCookieのどっちが好すき？— 徳丸とくまる 浩ひろし (@ockeghem) 2022年ねん2月がつ11日にち というのも、JWTをセッションに使つかうときに保存ほぞん先さき含ふくめて一時期いちじき悩なやんでいたので、その時ときの自分じぶんの解かい。 ただ、考かんがえるたびに変化へんかしているので、変かわるのかもしれない。 要約ようやく タイトル。 あとは優秀ゆうしゅうな方々かたがたが既すでに色々いろいろ考かんがえておられるのでそちらを読よむとよいでしょう。 SPAセキュリティ入門にゅうもん～PHP Conference Japan 2021 JWT カテゴリーの記事きじ一覧いちらん - r-weblife どうしてリスクアセスメントせずに JWT をセッションに使つかっちゃうわけ？ - co3k.org JWT形式けいしきを採用さいようしたChatWorkのアクセストークンについて -

                              WebアプリケーションでJWTをセッションに使う際の保存先は（自分なりに説明できれば）どちらでもよいと思います - 日々量産

                            • GitHub Actions入門にゅうもん ── ワークフローの基本きほん的てきな構造こうぞうからOIDCによる外部がいぶサービス認証にんしょうまで - エンジニアHub｜Webエンジニアのキャリアを考かんがえる！

                              GitHub Actions入門にゅうもん ── ワークフローの基本きほん的てきな構造こうぞうからOIDCによる外部がいぶサービス認証にんしょうまで GitHubが公式こうしきに提供ていきょうするGitHub Actionsは、後発こうはつながらよく使つかわれるワークフローエンジンとなっています。本ほん記事きじでは、藤ふじ吾郎ごろう（gfx）さんが、典型てんけい的てきなCI/CDのユースケースに即そくしたワークフローの設定せっていと管理かんりについて解説かいせつするとともに、注目ちゅうもくされているGitHub OIDC（OpenID Connect）の利用りようについても紹介しょうかいします。 GitHub Actionsは、GitHubが提供ていきょうするCI/CDのためのワークフローエンジンです。ワークフローエンジンは、ビルド、テスト、デプロイといったCI/CD関連かんれんのワークフローを実行じっこうし、定期ていき実行じっこうするワークフローを管理かんりするなど、開発かいはつにおけるソフトウェア実行じっこうの自動じどう化かを担にないます。 ▶ GitHub Actions - アイデアからリリースまでのワーク

                                GitHub Actions入門 ── ワークフローの基本的な構造からOIDCによる外部サービス認証まで - エンジニアHub｜Webエンジニアのキャリアを考える！

                              • 「挫折ざせつしない OAuth / OpenID Connect 入門にゅうもん」のポイント - Authlete

                                このビデオについて このビデオは、2021 年ねん 10 月がつ 6 日にちに開催かいさいされた 「挫折ざせつしない OAuth / OpenID Connect 入門にゅうもん」の理解りかいを深ふかめる会かい のプレゼンテーション録画ろくがです。 2021 年ねん 9 月がつ 18 日にち発売はつばいの「Software Design 2021 年ねん 10 月がつ号ごう」では、OAuth/OIDC が特集とくしゅうされ、「挫折ざせつしない OAuth/OpenID Connect 入門にゅうもん・API を守まもる認証にんしょう・認可にんかフローのしくみ」と題だいし、Authlete 代表だいひょうの川崎かわさき貴彦たかひこが寄稿きこうしました。 本ほんプレゼンテーションでは記事きじのポイントや、理解りかいを深ふかめるために重要じゅうようなポイントについて、著者ちょしゃの川崎かわさきがお話はなしします。 文字もじ起おこし はじめに 目次もくじ 記事きじの第だい1章しょう、第だい2章しょう、第だい3章しょうは、こういう目次もくじになっています。 ここからピックアップして、 こんなことを話はなしてます、というところを、 紹介しょうかいしたいと思おもいます。 自己じこ紹介しょうかい Au

                                  「挫折しない OAuth / OpenID Connect 入門」のポイント - Authlete

                                • 100万まんユーザーをログアウトさせずに新しん認証にんしょう基盤きばんに移行いこうした話はなし

                                  即そく戦力せんりょく人材じんざいと企業きぎょうをつなぐ転職てんしょくサイト「ビズリーチ」は2009年ねんにサービスを開始かいしし、スカウト可能かのう会員かいいん数すうは190万まん人にん以上いじょう（2023年ねん1月がつ末まつ時点じてん）のユーザーにご利用りよういただくサービスに成長せいちょうしました。 今回こんかい、その「ビズリーチ」の認証にんしょう基盤きばんとしてIDaaS（Identity as a Service）のOkta Customer Identity Cloud（Powered by Auth0）（以下いかAuth0という）の導入どうにゅうを行おこないました。 本ほん記事きじでは認証にんしょう基盤きばんを刷新さっしんするに至いたった背景はいけいとAuth0を用もちいて100万まんを超こえるユーザーをログアウトさせることなく移行いこうした方法ほうほうについてご紹介しょうかいいたします。 前提ぜんてい 本ほん記事きじで得えられる情報じょうほう 本ほん記事きじを読よむことで以下いかのような情報じょうほうを得えることができます。 IDaaSを選えらぶ理由りゆう IDaaSを用もちいて認証にんしょう・認可にんかを運用うんよう中ちゅうのプロダクトに組くみ込こんだ事例じれい 運用うんよう中ちゅうのプロダクトに組くみ込こむ際さいに発生はっせいしうる課題かだいと対たい

                                    100万ユーザーをログアウトさせずに新認証基盤に移行した話

                                  • "JWT=ステートレス"から一いち歩ほ踏ふみ出だすための考かんがえ方かた

                                    おはようございます、ritouです。 この話はなしに乗のっかっていきます。 3行ぎょうで ログアウト時じにJWTを無効むこう化かできない実装じっそうは今後こんご脆弱ぜいじゃく性せい診断しんだんで「OWASP Top 10 2021違反いはん」と指摘してきされるようになりそう(今いまも個別こべつにされてるかもしれないけど) JWTは単純たんじゅんなフォーマットなので、ステートレスなセッション管理かんりにおいてログアウトしたときに文字もじ列れつ自体じたいを無効むこう化かできない件けんは独自どくじエンコード方式ほうしき(一般いっぱん的てきにフレームワークのCookieストアと呼よばれているもの)でも起おこり得える 「セッションID vs JWTで内包ないほう」 以外いがいにも 「セッションIDをJWTに内包ないほう」もあり得える。既存きそんの機能きのうを残のこしつつ「JWTで武装ぶそう」する選択肢せんたくしも考かんがえてみてはどうか。 ステートレスなセッション管理かんりでログアウトの際さいに文字もじ列れつ自体じたいを無効むこう化かできない問題もんだい これは前まえから言いわれていますし、駆かけ出だし何なにとか勢いきおいのQiita記事きじに書かかれるぐらいには一般いっぱん的てきです。 2

                                      "JWT=ステートレス"から一歩踏み出すための考え方

                                    • マイクロサービスでの認証にんしょう認可にんか - Qiita

                                      複数ふくすうのクラウドサービスを利用りようしている（マルチクラウド）など、単純たんじゅんには閉域網もうを構築こうちくできない環境かんきょうでマイクロサービスアーキテクチャを採用さいようする場合ばあいには、サービス間あいだの認証にんしょう認可にんかが必要ひつようとなる。この場合ばあいのサービス間あいだの認証にんしょう認可にんか方式ほうしきを決きめる参考さんこうとなる、OSSやSaaS、Webサービスで採用さいよう方式ほうしきついて整理せいりした。 Istio サービスメッシュの実装じっそうとして有名ゆうめいなIstioではサービス間あいだ通信つうしんを以下いかのように制御せいぎょできる。 Istioの認証にんしょう認可にんかでは認証にんしょう主体しゅたいがService Identityというモデルで抽象ちゅうしょう化かされ、KubernatesやIstioで定義ていぎするService Accountに加くわえて、GCP/AWSのIAMアカウントやオンプレミスの既存きそんIDなどをService Identityとして扱あつかうことができる。 サービス間あいだの認証にんしょう (Peer Authentication) は、各かくサービス (Pod) に設置せっちするSideca

                                        マイクロサービスでの認証認可 - Qiita

                                      • マイクロサービス時代じだいのセッション管理かんり - Retty Tech Blog

                                        この記事きじはRetty Advent Calendar 2019 21日にち目めの記事きじです。エンジニアの 神かみ@pikatenor がお送おくりします。11日にち目めの記事きじに書かかれた「弊社へいしゃエンジニアの神かみ（注ちゅう・人にん名めいであり実名じつめいです）」とは私わたしのことです。 qiita.com さて世よはまさにマイクロサービス大だい航海こうかい時代じだい、大だい規模きぼ化かした組織そしき・肥大ひだい化かしたコードベースのメンテナンスを継続けいぞく的てきに行いっていくべく、アプリケーションを機能きのう別べつに分割ぶんかつする同どう手法しゅほうが注目ちゅうもくを集あつめていることは皆みなさんもご存知ぞんじでしょう。 マイクロサービスアーキテクチャ特有とくゆうの設計せっけい課題かだいはいくつかありますが、今回こんかいは認証にんしょう情報じょうほうのような、サービス間あいだでグローバルに共有きょうゆうされるセッション情報じょうほうの管理かんりのパターンについて調しらべたことをまとめてみたいと思おもいます。 背景はいけい HTTP は本質ほんしつ的てきにステートレスなプロトコルですが、実際じっさいの Web サービス上じょうでは複数ふくすうリクエストをまたがって状態じょうたいを保持ほじするために、

                                          マイクロサービス時代のセッション管理 - Retty Tech Blog

                                        • マイクロサービスの認証にんしょう・認可にんかとJWT / Authentication and Authorization in Microservices and JWT

                                          OCHaCafe Season4 #4の資料しりょうです． デモのソースコード等とうは

                                            マイクロサービスの認証・認可とJWT / Authentication and Authorization in Microservices and JWT

                                          • APIトークン認証にんしょうの論理ろんり設計せっけい

                                            SPAやモバイルアプリから利用りようするAPIを開発かいはつする際さいの、トークン認証にんしょうのお話はなしです。 どの認証にんしょうライブラリを使つかうべきという話はなしではなく、トークン認証にんしょうの論理ろんり的てきな設計せっけいについて考察こうさつします。 私わたし自身じしんも結論けつろんが出でていないので、色いろんな意見いけんが聞きけると嬉うれしいです。 出発しゅっぱつ点てん ユーザテーブルにアクセストークンを持もつのが最もっとも安直あんちょくな発想はっそうだと思おもいます。 ログイン成功せいこう時じにアクセストークンを発行はっこうし、該当がいとうユーザレコードにセット。 同時どうじに有効ゆうこう期限きげんもセットします。 認証にんしょう時じには、アクセストークンが存在そんざいし有効ゆうこう期限きげん内ないであれば、認証にんしょうを通過つうかさせ、 そうでなければ認証にんしょう失敗しっぱいとします。 ログアウト時じには、該当がいとうユーザレコードのアクセストークンを空そらにします。 発行はっこう日時にちじを持もち、システム内ないに定義ていぎされた有効ゆうこう期間きかんをもとに、認証にんしょう時じに計算けいさんする方法ほうほうもあると思おもいます。 Laravel Sanctum 等とうはそういう実装じっそうです（しかもデフォルトでは有効ゆうこう期限きげんなし）。 有効ゆうこうかどう

                                              APIトークン認証の論理設計

                                            • 基本きほんから理解りかいするJWTとJWT認証にんしょうの仕組しくみ | 豆蔵まめぞうデベロッパーサイト

                                              これは、豆蔵まめぞうデベロッパーサイトアドベントカレンダー2022第だい8日にち目めの記事きじです。 JSON Web Token(JWT)の単語たんごを目めにすることがよくあると思おもいますが、それと一緒いっしょに認証にんしょうと認可にんかや、RSAの署名しょめいや暗号あんごう化か、そしてOpenIDConnectやOAuth2.0までと難むずかしそうな用語ようごとセットで説明せつめいされることも多おおいため、JWTって難むずかしいなぁと思おもわれがちです。しかし、JWT自体じたいはシンプルで分わかりやすいものです。そこで今回こんかいは素もとのJWTの説明せつめいからJWS、そしてJWT(JWS)を使つかった認証にんしょうを段階だんかい的てきに説明せつめいしていきます。 おな、この記事きじはJWT全体ぜんたいの仕組しくみや使つかい方かたの理解りかいを目的もくてきとしているため、以下いかの説明せつめいは行おこないません。 RSAやHMACなど暗号あんごう化かやアルゴリズムの細こまかい説明せつめい JWTを暗号あんごう化かするJWEとJSONの暗号あんごう鍵かぎ表現ひょうげんのJWKについて OpenIDConnectとOAuth2.0について 記事きじは上記じょうきのような内容ないよう

                                                基本から理解するJWTとJWT認証の仕組み | 豆蔵デベロッパーサイト

                                              • Auth.js | Authentication for the Web

                                                // auth.ts import NextAuth from "next-auth" import GitHub from "next-auth/providers/github" export const { auth, handlers } = NextAuth({ providers: [GitHub] }) // middleware.ts export { auth as middleware } from "@/auth" // app/api/auth/[...nextauth]/route.ts import { handlers } from "@/auth" export const { GET, POST } = handlers // src/auth.ts import { SvelteKitAuth } from "@auth/sveltekit" impor

                                                  Auth.js | Authentication for the Web

                                                • フロントエンド開発かいはつ者しゃのための便利べんりなオンラインツール11選せん - Qiita

                                                  私わたしが愛用あいようするオンライン開発かいはつツール インターネット上じょうには、フロントエンド開発かいはつ者しゃの生活せいかつを楽らくにしてくれる素晴すばらしいツールが沢山たくさんあります。この記事きじでは、私わたしが開発かいはつの仕事しごとで頻繁ひんぱんに使つかっている11のツールについて簡単かんたんに説明せつめいします。 1. CanIUse Web APIが特定とくていのブラウザで互換ごかん性せいがあるのか、モバイルブラウザで使用しようできるのか、分わからないことはありませんか？このオンラインツールを使つかえば、ブラウザの互換ごかん性せいについてWeb APIを簡単かんたんにテストできます。 Can I use―HTML5、CSS3などの対応たいおう表ひょう。 「Can I use」は、デスクトップとモバイルにおけるフロントエンドWebテクノロジーを支援しえんする、最新さいしんのブラウザ対応たいおう表ひょうを提供ていきょうします。 caniuse.com Web Share APIのnavigator.share(...)に対応たいおうしているブラウザとバージョンを知しりたいとします。 結果けっかを見みてくだ

                                                    フロントエンド開発者のための便利なオンラインツール11選 - Qiita

                                                  • SPA+SSR+APIで構成こうせいしたWebアプリケーションのセッション管理かんり - Pepabo Tech Portal

                                                    カラーミーショップ サービス基盤きばんチームのkymmtです。この記事きじでは、サーバサイドレンダリングするシングルページアプリケーションとAPIサーバからなるWebアプリケーションのセッション管理かんり方法ほうほうについて紹介しょうかいします。 アプリケーションの構成こうせい 構成こうせいの概要がいよう 今回こんかいは例れいとしてEC事業じぎょう部ぶで提供ていきょうするカラーミーリピートをとりあげます。構成こうせいとしては、Railsで作つくられたAPIサーバ1と、Vue.jsで作つくられたシングルページアプリケーション(SPA)からなります。また、SPAはExpressが動うごくフロントエンドサーバでサーバサイドレンダリング(SSR)します。APIサーバはSPAかフロントエンドサーバだけが呼よび出だします。各かくロールはサブドメインが異ことなります。 APIサーバでセッションIDを持もつCookieを発行はっこうし、Redisを用もちいてセッション管理かんりします。また、APIサーバへのセッションが有効ゆうこうなリクエストはフロント

                                                      SPA+SSR+APIで構成したWebアプリケーションのセッション管理 - Pepabo Tech Portal

                                                    • マイクロサービス時代じだいのセッション管理かんり - Retty Tech Blog

                                                      この記事きじはRetty Advent Calendar 2019 21日にち目めの記事きじです。エンジニアの 神かみ@pikatenor がお送おくりします。11日にち目めの記事きじに書かかれた「弊社へいしゃエンジニアの神かみ（注ちゅう・人にん名めいであり実名じつめいです）」とは私わたしのことです。 qiita.com さて世よはまさにマイクロサービス大だい航海こうかい時代じだい、大だい規模きぼ化かした組織そしき・肥大ひだい化かしたコードベースのメンテナンスを継続けいぞく的てきに行いっていくべく、アプリケーションを機能きのう別べつに分割ぶんかつする同どう手法しゅほうが注目ちゅうもくを集あつめていることは皆みなさんもご存知ぞんじでしょう。 マイクロサービスアーキテクチャ特有とくゆうの設計せっけい課題かだいはいくつかありますが、今回こんかいは認証にんしょう情報じょうほうのような、サービス間あいだでグローバルに共有きょうゆうされるセッション情報じょうほうの管理かんりのパターンについて調しらべたことをまとめてみたいと思おもいます。 背景はいけい HTTP は本質ほんしつ的てきにステートレスなプロトコルですが、実際じっさいの Web サービス上じょうでは複数ふくすうリクエストをまたがって状態じょうたいを保持ほじするために、

                                                        マイクロサービス時代のセッション管理 - Retty Tech Blog

                                                      • サーバサイドでJWTの即時そくじ無効むこう化か機能きのうを持もっていないサービスは脆弱ぜいじゃくなのか？ - くろの雑記ざっき帳ちょう

                                                        きっかけ 昨年さくねん(2021年ねん9月がつごろ)に徳丸とくまるさんのこのツイートを見みて、「2022年ねんにはJWTを用もちいたセッション管理かんりに代表だいひょうされる、ステートレスなセッション管理かんりは世よの中なかに受うけ入いれられなくなっていくのだろうか？」と思おもっていました。 OWASP Top 10 2021 A1に「JWT tokens should be invalidated on the server after logout.」（私わたし訳やく:JWTトークンはログアウト後ごにサーバー上じょうで無効むこう化かすべきです）と書かいてあるけど、どうやって無効むこう化かするんだ? ブラックリストに入いれる?https://t.co/bcdldF82Bw— 徳丸とくまる 浩ひろし (@ockeghem) 2021年ねん9月がつ10日とおか JWT大好だいすきな皆みなさん、ここはウォッチしないとだめですよ。これがそのまま通とおったら、ログアウト機能きのうでJWTの即時そくじ無効むこう化かをしていないサイトは脆弱ぜいじゃく性せい診断しんだんで「OWASP Top

                                                          サーバサイドでJWTの即時無効化機能を持っていないサービスは脆弱なのか？ - くろの雑記帳

                                                        • 【認証にんしょう】JWTについての説明せつめい書しょ

                                                          はじめに この記事きじを読よんでいるあなたはJWTについて知しっているだろうか？JWTは、認証にんしょうされたユーザを識別しきべつするために最もっとも一般いっぱん的てきに使用しようされる。JWTは認証にんしょうサーバから発行はっこうされて、クライアント・サーバで消費しょうひされる。 今回こんかいの記事きじでは、Webアプリケーションの認証にんしょう方法ほうほうとして最もっとも利用りようされているJWT認証にんしょうを簡潔かんけつに解説かいせつする。 本ほん記事きじの読者どくしゃの対象たいしょう JWT認証にんしょうについて知しらない人ひと JWTのメリット・デメリット、仕組しくみについて詳くわしく知しりたい人ひと アプリケーションの認証にんしょう方法ほうほうについて詳くわしく知しりたい人ひと JWTとは JSON Web Token(JWT)とは、クライアント・サーバの間あいだで情報じょうほうを共有きょうゆうするために使つかわれる規格きかくの１ひとつである。JWTには、共有きょうゆうが必要ひつような情報じょうほうを持もつJSONオブジェクトが含ふくまれている。さらに、各かくJWTはJSONのcontentsがクライアントあるいは悪意あくいのあるパーティによって改かいざんされないように、暗号あんごう(ハッシュ

                                                            【認証】JWTについての説明書

                                                          • マイクロサービス間あいだ通信つうしんにおける認証にんしょう認可にんかおよびアクセス制御せいぎょ

                                                            はじめに 2023年ねん4月がつに基盤きばんエンジニアとして Ubie に入社にゅうしゃしました nerocrux です。主おもに Ubie の ID 基盤きばんの開発かいはつと保守ほしゅ運用うんようを担当たんとうしています。 この記事きじは、2023 Ubie Engineers アドベントカレンダー 5 日にち目めの記事きじとなります。 Ubie では、モジュラモノリスを採用さいようしつつ、マイクロサービスアーキテクチャも採用さいようしており、領域りょういきによってサービスを分わけて、それぞれの担当たんとうチームが開発かいはつと保守ほしゅ運用うんようをしています。 クライアントから一ひとつのリクエストを受うけ取とったあとに、Ubie のバックエンドではリクエストを受うけ取とったサービスだけがそのリクエストを処理しょりすることもあれば、別べつのサービスにディスパッチし、複数ふくすうのサービスがひとつのリクエストを処理しょりして結果けっかを返かえすこともあります。 マイクロサービス間あいだの通信つうしんが Ubie の内部ないぶで発生はっせいしたとしても、必かならずしも無む制限せいげんで自由じゆうに行おこなわれていいわけで

                                                              マイクロサービス間通信における認証認可およびアクセス制御

                                                            • [2023-01-31 12:00 JST 更新こうしん] JWTのシークレットポイズニングに関かんする問題もんだい

                                                              2019年ねん1月がつ30日にち PST 本ほん脆弱ぜいじゃく性せいの悪用あくようシナリオの前提ぜんてい条件じょうけんに関かんするコミュニティからのフィードバックを受うけ、私わたしたちはAuth0と協力きょうりょくしてCVE-2022-23529を撤回てっかいすることを決定けっていしました。 本稿ほんこうで解説かいせつしたセキュリティの問題もんだいはJsonWebTokenライブラリが安全あんぜんでない方法ほうほうで使用しようされた場合ばあいには依然いぜんとして懸念けねんされるものです。そのシナリオでは、すべての前提ぜんてい条件じょうけんを満みたせばこの問題もんだいを悪用あくようできる可能かのう性せいがあります。私わたしたちは、その場合ばあいのリスクの大元おおもとはライブラリ側がわでなく呼よび出だし側がわのコードにあることに同意どういします。 この問題もんだいに対処たいしょするためJsonWebTokenのコードには重要じゅうようなセキュリティチェックが追加ついかされました。 jsonwebtoken 8.5.1以前いぜんのバージョンをお使つかいの場合ばあいは最新さいしん版ばんの9.0.0にアップデートすることをお勧すすめします。最新さいしん版ばんでは同どうセキュリティ問題もんだいを含ふくむ問題もんだいを修正しゅうせい済ずみで、より安全あんぜんな

                                                                [2023-01-31 12:00 JST 更新] JWTのシークレットポイズニングに関する問題

                                                              • 2020年版ねんばん チーム内ない勉強べんきょう会かい資料しりょうその1 : JSON Web Token - r-weblife

                                                                おはようございます。ritou です。 5月下旬げじゅんぐらいにチーム内ない勉強べんきょう会かいとしてJSON Web Token(JWT)についてわいわいやりました。 その際さいに作成さくせいした資料しりょうに簡単かんたんな説明せつめいを添そえつつ紹介しょうかいします。 このブログではJWTについて色々いろいろと記事きじを書かいてきましたが、その範囲はんいを超こえるものではありません。 ちょっとだけ長ながいですが、ちょっとだけです。お付つき合あいください。それでは始はじめましょう。 JSON Web Token boot camp 2020 今回こんかいの勉強べんきょう会かいでは、JWTについて概要がいよう、仕様しよう紹介しょうかいという基本きほん的てきなところから、業務ぎょうむで使つかっていくにあたって気きをつけるべき点てんといったあたりまでカバーできると良よいなと思おもっています。 JSON Web Token 概要がいよう まずは概要がいようから紹介しょうかいしていきます。 JSON Web Tokenの定義ていぎとはということで、RFC7519のAbstractの文章ぶんしょうを引用いんようします。 JSON W

                                                                  2020年版 チーム内勉強会資料その1 : JSON Web Token - r-weblife

                                                                • VercelとHerokuで手てを抜ぬきながらはじめる個人こじん開発かいはつ - SMARTCAMP Engineer Blog

                                                                  こんにちは、BOXILの開発かいはつをしている徳田とくた(@haze_it_ac) です。 今回こんかいは業務ぎょうむと少すこし離はなれた話はなしをしてみます。 はじめに みなさんは仕事しごと以外いがいでもWebアプリケーションを作つくっていますか？ 作つくりまくっている人ひとも、仕事しごと以外いがいではコードを書かかない人ひとも居いるかと思おもいます。 私わたしは気きになったライブラリを見みつけたり、こういう実装じっそうってできないかな？と思おもった際さいに、簡単かんたんなWebアプリケーションを作つくって試ためしています。 この記事きじではその中なかで、ゴールデンウィーク中ちゅうに "簡単かんたんに作つくれて、運用うんようが楽らくな SPA/SSR + API Server 構成こうせいの小ちいさなWebサービス" を考かんがえて試ためした際さいの構成こうせいと、作成さくせい手順てじゅんを紹介しょうかいします。 サンプル 画面がめん https://blog-sample-fe.now.sh/ 見みた目めが雑ざつで申もうし訳わけないのですが、サンプルとして 会員かいいん登録とうろく ログイン 会員かいいんページ ログアウト 機能きのうを実装じっそうしたものです。 構成こうせい 全ぜん

                                                                    VercelとHerokuで手を抜きながらはじめる個人開発 - SMARTCAMP Engineer Blog

                                                                  • 『いまどきの OAuth / OpenID Connect (OIDC) 一挙いっきょおさらい』の予習よしゅう・復習ふくしゅう用よう情報じょうほう - Qiita

                                                                    はじめに Authlete（オースリート）社しゃ主催しゅさいの勉強べんきょう会かい『いまどきの OAuth / OpenID Connect (OIDC) 一挙いっきょおさらい』（2020 年ねん 1 月がつ 31 日にち（済すみ）, 2020 年ねん 2 月がつ 21 日にち（中止ちゅうし））の内容ないようがてんこ盛もり過すぎるため、予習よしゅう・復習ふくしゅう用ようの情報じょうほうを書かき出だそうと思おもいます。 追記ついき 2020 年ねん 1 月がつ 31 日にちの勉強べんきょう会かいの資料しりょうと動画どうが（字幕じまく付つき）を公開こうかいしました！ OAuth / OIDC 勉強べんきょう会かい参加さんか者しゃは、OAuth 2.0（オーオース）と OpenID Connect（オープンアイディー・コネクト）の基本きほんを知しっていることが前提ぜんていとなります。 OAuth 2.0 は「アクセストークンを発行はっこうする仕組しくみ」です。その中心ちゅうしんとなる仕様しようは RFC 6749 です。詳細しょうさいについては『一番いちばん分わかりやすい OAuth の説明せつめい』と『OAuth 2.0 全ぜんフローの図解ずかいと動画どうが』をご参照さんしょうください。 Op

                                                                      『いまどきの OAuth / OpenID Connect (OIDC) 一挙おさらい』の予習・復習用情報 - Qiita

                                                                    • next.js + vercel + firebase authentication で JWT の検証けんしょうを行おこなう + Graphql

                                                                      今こん個人こじんで作つくってるアプリの 認証にんしょう + Graphql の部分ぶぶんを抜ぬき出だして GitHub に公開こうかいした。 mizchi/next-boilerplate-20200727 next.js + vercel + firebase は (パーツを良よく選えらべば) 最高さいこう next.js はルーティングを持もつページを作つくるには最高さいこうで、サーバー、静的せいてきサイト、JAM スタック、AMP と必要ひつように応おうじて選択せんたくできる。React ベースならこれ一択いったく。 認証にんしょうサーバーの実装じっそうは毎度まいど疲つかれるし、Firebase Athunetication はこの点てんにおいては OAuth Secret を置おくだけ + Custom Provider も作つくれるので、最高さいこう。 それと比くらべて firestore は、ちょっと前まえに firestore べったりでアプリを試作しさくしたことがあったのだが、型かたがないためにかなり扱あつかいづらく、また読よみ書かきの速度そくどが遅おそくパフ

                                                                        next.js + vercel + firebase authentication で JWT の検証を行う + Graphql

                                                                      • SPAセキュリティ入門にゅうもん～PHP Conference Japan 2021 | ドクセル

                                                                        スライド概要がいよう シングルページアプリケーション(SPA)において、セッションIDやトークンの格納かくのう場所ばしょはCookieあるいはlocalStorageのいずれが良よいのかなど、セキュリティ上じょうの課題かだいがネット上じょうで議論ぎろんされていますが、残念ざんねんながら間違まちがった前提ぜんていに基もとづくものが多おおいようです。このトークでは、SPAのセキュリティを構成こうせいする基礎きそ技術ぎじゅつを説明せつめいした後のち、著名ちょめいなフレームワークな状況じょうきょうとエンジニアの技術ぎじゅつ理解りかいの現状げんじょうを踏ふまえ、SPAセキュリティの現実げんじつ的てきな方法ほうほうについて説明せつめいします。 動画どうがはこちら https://www.youtube.com/watch?v=pc57hw6haXk

                                                                          SPAセキュリティ入門～PHP Conference Japan 2021 | ドクセル

                                                                        • 【Go編へん】Next.js × Go × AWSでJWT認証にんしょう付つきGraphQLアプリとCI/CDを構築こうちくしてみよう - Qiita

                                                                          ■ご案内あんない■ 本ほん連載れんさいの背景はいけい/作成さくせいできるアプリケーション/進すすめ方かたをご理解りかい頂いただく上うえでも【環境かんきょう構築こうちく編へん】 をご一読いちどく頂いただけると幸さいわいです。 【環境かんきょう構築こうちく編へん】 【Next.js編へん】 【Go編へん】 　👈いまここです 【AWS編へん】 これからも頑張がんばってハンズオン系けいの記事きじを書かいていきたいと思おもっているので、いいねっと思おもって頂いただけたらLGTM押おしていただけると励はげみになります！ 環境かんきょう構築こうちく 本ほんサンプルアプリの環境かんきょう構築こうちく方法ほうほうは【環境かんきょう構築こうちく編へん】に記載きさいしているので、そちらをご参照さんしょうください。 クリーンアーキテクチャ風ふうなディレクトリ設計せっけい 以下いかの記事きじを参考さんこうにしつつクリーンアーキテクチャ風ふうなディレクトリ設計せっけいをしてみました。 各かく階層かいそう間あいだをインターフェースを利用りようして、システムの各かく部分ぶぶんを疎うと結合けつごう化かしております。 # 簡単かんたんのため一部いちぶファイルは割愛かつあいしています go-graphql-jwt-api/ ├── build/ │ ├── db/ │ └── dock

                                                                            【Go編】Next.js × Go × AWSでJWT認証付きGraphQLアプリとCI/CDを構築してみよう - Qiita

                                                                          • OAuth 2.0 / OIDC を理解りかいする上じょうで重要じゅうような3つの技術ぎじゅつ仕様しよう

                                                                            2020年ねん3月がつ17日にち、株式会社かぶしきがいしゃAuthleteが主催しゅさいする「OAuth & OIDC 勉強べんきょう会かい リターンズ【入門にゅうもん編へん】」が開催かいさい。同社どうしゃの共同きょうどう創業そうぎょう者しゃであり、プログラマー兼けん代表だいひょう取締役とりしまりやくでもある川崎かわさき貴彦たかひこ氏しが、OAuth 2.0 / OIDCの仕様しようについて解説かいせつしました。 冒頭ぼうとうは、OAuth 2.0の概念がいねんや認可にんか・認証にんしょうまでの流ながれと、それを理解りかいする上じょうで避さけては通とおれない3つの技術ぎじゅつ仕様しよう（JWS・JWE・JWT）についての解説かいせつです。 OAuth 2.0とは 川崎かわさき貴彦たかひこ氏し：株式会社かぶしきがいしゃAuthleteの川崎かわさきです。本日ほんじつは「OAuthとOpenID Connectの入門にゅうもん編へん」ということでオンライン勉強べんきょう会かいを開催かいさいしますので、よろしくお願ねがいします。最初さいしょにOAuth 2.0の概要がいようの説明せつめいからです。 ブログに書かいてある内容ないようと一緒いっしょなんですが、まずユーザーのデータがあります。このユーザーのデータを管理かんりするのが、リソースサーバーです。このユーザーのデ

                                                                              OAuth 2.0 / OIDC を理解する上で重要な3つの技術仕様

                                                                            • JWT+RDBを用もちいたOAuth 2.0 ハイブリッド型がたトークンの実装じっそう例れい - r-weblife

                                                                              おはようございます、ritouです。 (⚠️認可にんかイベントの識別子しきべつしのあたり、ちょっと見直みなおしました！最初さいしょに見みていただいた方ほうはもう一いち回かいどうぞ！) 前回ぜんかい、ハイブリッド型がたと呼よばれる OAuth 2.0 のトークン実装じっそうについて書かきました。 ritou.hatenablog.com その続つづきとして JWT(JWS) + RDBでできる実装じっそう例れいを紹介しょうかいします。 理解りかいするにはそれなりの OAuth 2.0 に関かんする知識ちしきが必要ひつようになるかもしれませんが、よかったら参考さんこうにしてみてください。 何なにを考かんがえたのか OAuth 2.0のRefresh Token, Access Tokenを考かんがえます。 要件ようけんから整理せいりしましょう。 要件ようけん 結構けっこうありますが、最低限さいていげんの OAuth 2.0 の Authorization Server を実装じっそうしようと思おもったらこれぐらいはやらないといけないでしょう。 RFC6750 で定義ていぎされている Bear

                                                                                JWT+RDBを用いたOAuth 2.0 ハイブリッド型トークンの実装例 - r-weblife

                                                                              • おーい磯野いそのー，Local StorageにJWT保存ほぞんしようぜ！

                                                                                ある日ひ，HTML5のLocal Storageを使つかってはいけない がバズっていた． この記事きじでテーマになっていることの１ひとつに「Local StorageにJWTを保存ほぞんしてはいけない」というものがある． しかし，いろいろ考かんがえた結果けっか「そうでもないんじゃないか」という仮定かていに至いたったのでここに残のこしておく． 先さきの記事きじでは，「Local StorageにJWTを保存ほぞんしてはいけない」の根拠こんきょとして「XSSが発生はっせいした時とき，攻撃こうげき者しゃがLocal Storageに保存ほぞんしたJWTを盗ぬすむことが出来できてしまう」といったセキュリティ上じょうの懸念けねん事項じこうが挙あげられていた． これに対たいし，クッキーを用もちいたセッションベースの認証にんしょうでは，セッションIDをクッキーに保存ほぞんする．クッキーにHttpOnlyフラグをつけておけば，JavaScriptからはアクセスできず，XSSが発生はっせいしても攻撃こうげき者しゃはセッションIDを読よみ取とることが出来できない． 一見いっけんすると，これは

                                                                                  おーい磯野ー，Local StorageにJWT保存しようぜ！

                                                                                • SaaS におけるテナントリソースへのリクエストルーティングを JWT を用もちいて実現じつげんする | Amazon Web Services

                                                                                  Amazon Web Services ブログ SaaS におけるテナントリソースへのリクエストルーティングを JWT を用もちいて実現じつげんする みなさんこんにちは。ソリューションアーキテクトの福本ふくもとです。 本ほん投稿とうこうのテーマは Software as a Service（SaaS）におけるルーティングです。 SaaS ではテナントごとにサーバーなどのリソースが分離ぶんりされていることがあります。そのため、各かくテナントに属ぞくするユーザーからのリクエストを適切てきせつなリソースへとルーティングする必要ひつようがあります。 具体ぐたい的てきなルーティングの話はなしに入はいる前まえに、SaaS のテナント分離ぶんりモデルについて説明せつめいをします。SaaS では、テナントの分離ぶんりモデルとしてサイロ、プール、ブリッジモデルが存在そんざいします。また、ユーザーがサブスクライブしている利用りようプラン (ティア) によって、リソースの分離ぶんり形態けいたいが変かわるような、階層かいそうベースの分離ぶんりもあります。 サイ

                                                                                    SaaS におけるテナントリソースへのリクエストルーティングを JWT を用いて実現する | Amazon Web Services
                                                                                  1 2 3 4 次つぎのページ

                                                                                  新着しんちゃく記事きじ

                                                                                  はてなブックマーク

                                                                                  公式こうしきTwitter

                                                                                  はてなのサービス

                                                                                  • App Storeからダウンロード
                                                                                  • Google Playで手に入れよう
                                                                                  Copyright © 2005-2024 Hatena. All Rights Reserved.