SPAのログイン認証のベストプラクティスがわからなかったのでわりと網羅的に研究してみた〜JWT or Session どっち？〜 - Qiita

SPAのログイン認証のベストプラクティスがわからなかったのでわりと網羅的に研究してみた〜JWT or Session どっち？〜JavaScriptRailsJWT認証React SPAのログイン周りについて、「これがベストプラクティスだ！」という情報があまり見当たらないので、様々な可能性を模索してみました。 いろいろな状況が想定され、今回記載する内容に考慮の漏れや不備などがありましたら是非コメントでご指摘いただきたいです！特に「おすすめ度：○」と記載しているものに対しての批判をどしどしお待ちしております！ この記事でおすすめしているものであっても、ご自身の責任で十分な検討・検証の上で選択されてください。 前提 想定しているAPIは、 ログイン外のAPIにはPOST/PUT/DELETEのものがなく、GETのみ GETのAPIにはDBを更新するなどの操作がない とし、そのためログイン外では

[civicpg]

Firebase Authenticationを使う

[rgfx]

「Sessionを用いる + CSRFトークンを利用」かあ。

[t_f_m]

あとで

[atico]

SPAでXSS許した時点で入出力全部盗めるから、sessionIDは些細な問題だと思う。それよりサイトとAPIでドメインが違うことが多いので、cookieを使わずにセキュアに作るにはどうするかの議論をしたい。

[hujuu]

“Sessionを用いる + CSRFトークンを利用”

[ene0kcal]

600ブクマもあるのにコメント有りブクマが16もないのは珍しい。

[yoshisp]

“体は cookie の path 属性を使って refresh 時にのみ送信するのがいいと思います。 ”

[bungoume]

CSPとかToken Bindingとか

[asa_ca3]

session 出てきた。。

[fujiten3]

端的にまとまっていてとてもよい

[cl-gaku]

トラディショナルなやり方はやはり硬いな

[programmablekinoko]

今も昔もCSRFトークンが安牌かあ

[aktkro]

あとでよむ

[shoechang]

デバッグ効率でSPAとAPIは分離したほうがよさそうだなーと思ってたわ

[ttskch]

ありがてえ

[gtnao]

spa