ログインの状態を、サーバーのセッションと JWT のどちらで持ちますか

こう聞かれます

• 「ログインの状態を、サーバーのセッションと JWT のどちらで持ちますか」
• 「JWT を使っていて、ログアウトした人の証明を、すぐ使えなくするには」
• 「JWT ならサーバーで何も覚えなくてよいので、いつも JWT が良いのでは」(裏から聞く形)

面接官が見ている点

• 仕組みの違いではなく、取り消しのしやすさ、台の増やしやすさ、置き場所の安全さで選べるか
• JWT は期限まで有効で、途中で取り消すのが難しいと分かっているか
• ブラウザのどこに置くかで、盗まれ方が変わると分かっているか
• 「流行っているから」ではなく、サービスの形に合わせて選べるか

短い答え

• ふつうの Web のサービスなら、サーバーのセッションを選びます。サーバーで消せば、ログアウトや強制的な締め出しがすぐ効くからです。台を増やすときは、セッションを共有の置き場に持ちます。
• JWT は、署名で中身を確かめられるので、複数のサービスがそれぞれ問い合わせずに確かめたいときに向きます。そのかわり期限までは取り消しにくいので、期限を短くし、長く持つ更新用の証明と組み合わせます。
• どちらでも、ブラウザでは JavaScript から読めない Cookie (HttpOnly) に置きます。localStorage に置くと、XSS の穴があったときに読み出されます。

少し詳しい答え

よくある間違い

• JWT なら何でも楽になると思う取り消しが難しくなります。ログアウトや締め出しをすぐ効かせたいサービスでは、かえって手間が増えます
• JWT の期限を長くする漏れたとき、期限まで使われ続けます。短くして、更新用の証明と組み合わせます
• JWT の中身に秘密の情報を入れる中身は誰でも読めます。署名は書き換えを防ぐだけです
• 証明を localStorage に置く XSS の穴が 1 つあれば、そのまま読み出されます

深掘りの問い

• 「ログインした直後に、セッションの番号を替えるのはなぜですか」ログインの前に知られた番号をそのまま使われる攻撃 (セッション固定) を防ぐため、と答えます
• 「JWT の署名の確かめで気をつけることは」受け入れる署名の方式を決めておき、署名の無い物や想定外の方式は断る、期限の欄も必ず確かめる、と答えます
• 「スマホのアプリでは」 Cookie を使わないことが多いので、更新用の証明は端末の安全な保管の仕組みに置く、と答えます

関連するコースと用語

• ログイン処理の流れ
  コース「認証・認可の脆弱性」
• セッションの更新とログアウト
  コース「認証・認可の脆弱性」
• ログインとトークン
  コース「Node.js認証・本番運用」
• 状態を外に出す
  コース「System Design入門」

用語集で確かめる言葉は、セッション、トークン、Cookie、ステートレス、XSS です。