NodeJS - Безопасно ли отправить Json Web Token (JWT) в электронное письмо с подтверждением регистрации?

Question

На моем сервере node.js для аутентификации используется Json Web Token (JWT) и passport.js. После того, как пользователь зарегистрирован, сервер отправит пользователю подтверждение электронной почты, и, как правило, для обеспечения безопасности должен быть установлен токен, указанный в контрольной ссылке. Но так как мой сайт usgin jwt, могу ли я просто отправить jwt в качестве части ссылки для проверки в электронном письме?

то есть ссылка для подтверждения будет http://example.com/verification/some-jwt

Так до тех пор, пока пользователь получает электронную почту, он также получает JWT и может хранить в браузере для дальнейшей аутентификации.

Это хорошая практика?

Answer 1

Как упомянуто Броуди, лучшим решением является отправить ссылку «одноразовый токен». При нажатии на эту ссылку cookie будет проверяться, и JWT будет возвращен.

Здесь мы можем просто сохранить JWT в локальном хранилище браузера - на самом деле не нужен файл cookie.

Answer 2

Я так не считаю. Вы не хотите смешивать электронную почту и информацию обозревателя вместе.

Лучшее решение может заключаться в том, чтобы отправить ссылку «одноразовый токен», которая загрузит JWT в файл cookie, когда ссылка будет нажата в первый раз. Это позволит вашему веб-сайту установить cookie браузера с помощью JWT.

Риск состоит в том, что ваш токен может быть получен в в течение длительного периода времени.