أمان JWT
نظرة عامة
تُستخدم رموز JWT لمصادقة طلبات الجوال وAPI المدعومة لمستخدمي المؤسسة المؤهلين. ويحصل التطبيق على JWT بعد أن يسجل مستخدم مؤسسة مؤهل الدخول بعنوان البريد الإلكتروني وكلمة المرور؛ ولا تُدعم طرق تسجيل الدخول القديمة الخاصة بالباحث.
ما هو JWT في Survanta؟
JWT بيانات اعتماد مضغوطة موقعة رقميًا يرسلها العميل عبر Authorization: Bearer <jwt>. يصدرها Survanta بعد تسجيل مستخدم مؤسسة مؤهل الدخول بالبريد الإلكتروني وكلمة المرور.
يحتوي التوكن على بيانات تصف:
- لمن صدر الرمز (مطالبات
uidومعرّف الاسم) - مطالبات الأدوار وقت الإصدار؛ ويُحل سياق المؤسسة والعضوية النشطة وتفرضهما السياسات المحمية بدل الوثوق بمدخل عميل اعتباطي
- وقت انتهاء صلاحية التوكن
نطاق JWT
تستخدم مصادقة JWT في استبيانات الجوال وإرسالاته ومهامه وإشعاراته وشكاواه وعمليات البحث والتكوين ووحدات API الأخرى التي تختار مخطط Bearer صراحة. وهذا يعني:
- لا يمكن استخدام JWT لتسجيل الدخول إلى لوحة تحكم مؤسسة Survanta.
- لا يمكن استخدام JWT لتسجيل الدخول إلى الموقع العام لـ Survanta.
- لا يمكن استخدام JWT لانتحال هوية مشرف المنصة أو الوصول إلى أدوات المنصة.
- لا يمنح JWT الوصول إلا عندما تنجح أيضًا سياسة نقطة النهاية وفحوص المستخدم النشط في المؤسسة نفسها وقناة الوصول والاشتراك والصلاحية المطلوبة.
لا توجد آلية لاستبدال JWT بصلاحيات أوسع مما مُنح في الأصل.
انتهاء صلاحية التوكن
لرموز JWT وقت انتهاء صلاحية مضمَّن في التوكن نفسه. بمجرد انتهاء صلاحية التوكن:
- سيرفض API أي طلب يُرسَل بالتوكن منتهي الصلاحية.
- يجب على الباحث إعادة المصادقة للحصول على توكن جديد.
يحدّ هذا الآلية من نافذة المخاطرة في حال اعتُرض التوكن أو تسرّب. التوكن منتهي الصلاحية عديم الفائدة.
أفضل الممارسات لمستخدمي المؤسسة
- لا تشارك JWT الخاص بك مع أي أحد. إنه بيانات اعتماد شخصية مرتبطة بهويتك.
- لا تخزّن JWT في مكان غير آمن مثل ملف نصي عادي أو مستودع كود عام أو التخزين المحلي للمتصفح في بيئة مشتركة.
- أعد المصادقة فوراً بعد انتهاء صلاحية التوكن بدلاً من تخزين نسخ طويلة الأمد.
- إذا انكشف الرمز، فاحذفه من العميل واحمِ رمز الجهاز المسجل وتواصل مع المسؤول. لا تعرض الواجهة الحالية نقطة نهاية لإلغاء JWT بعينه.
إلغاء التوكن
رمز JWT الحالي مستقل وتُتحقق توقيعه وجهة إصداره وجمهوره وعمره ومطالباته. لا توجد قائمة حظر JWT أو نقطة نهاية لتسجيل الخروج أو إلغاء رمز فردي. يستطيع المسؤول تعطيل وصول الحساب، وقد ترفض سياسات المؤسسة المحمية العمليات بعد ذلك، لكن هذا لا يساوي إلغاء رمز بعينه.
- مغادرة المستخدم للمؤسسة
- فقدان جهاز أو سرقته
- الاشتباه في تعرض توكن للكشف
يجب ألا يدعي العميل إلغاء فوريًا في الخادم. الحد الحتمي للرمز هو انتهاء صلاحيته؛ ويمكن لفحوص الحساب والسياسة في نقطة النهاية رفض رمز صالح بصورة مستقلة.
الأسئلة الشائعة
هل تستخدم Survanta توكنات التحديث (Refresh Tokens)؟
لا توجد نقطة نهاية لرمز تحديث. تتضمن استجابة تسجيل الدخول expiresAtUtc؛ وبعد الانتهاء يجب على مستخدم المؤسسة تسجيل الدخول مجددًا.
هل يمكن استخدام JWT للوصول إلى بيانات مؤسسة أخرى؟ لا. يُصدَر JWT لمؤسسة محددة ولا يمكنه الوصول إلا إلى البيانات ضمن تلك المؤسسة. ينطبق عزل المؤسسة على الطلبات المصادَق عليها بـ JWT تماماً كما ينطبق على جميع طرق الوصول الأخرى.
ماذا يجب أن أفعل إذا ظهر JWT الخاص بي في سجل أو رسالة خطأ؟ تعامل مع الرمز على أنه مخترق، واحذفه من السجلات وتخزين العميل حيث أمكن، وتواصل مع المسؤول لمراجعة وصول الحساب أو تعطيله عند الحاجة، ثم سجل الدخول بعد المعالجة. ولا يلغي الرمز الجديد الرمز المسرب بذاته.