OAuth وJWT والبوابات: فصل ضوابط الأمان

اختر الدور قبل الأداة

قد يكون رمز وصول OAuth معتماً أو بصيغة JWT. فك JWT لا يتحقق من أصالته؛ والتوقيع لا يشفر محتواه تلقائياً. وجود بوابة لا يحل محل تفويض الأعمال داخل الخدمات.

تحقق من البروتوكول وكل وصول

• اختر تدفقاً مناسباً للعميل. لمسارات المستخدم اتبع التوصيات الحالية لرمز التفويض وPKCE، مع مكتبة مصانة وإعادة توجيه مضبوطة بدقة.
• افحص توقيع JWT المقبول والخوارزميات المسموحة والجهة المصدرة والجمهور والقيود الزمنية للملف. ارفض الرمز المخصص لاستخدام آخر.
• افحص كل كائن وإجراء ومؤسسة. اختبر الوصول المتبادل بين الحسابات ببيانات افتراضية؛ فالدور أو النطاق العام لا يكفي دائماً.

خطط للانتهاء والإلغاء والحوادث

وثق التجديد وتدوير المفاتيح وفقد الأسرار واستراتيجية الإلغاء. التحقق المحلي لا يعلم تلقائياً بإلغاء بعيد. قلل بيانات الرموز والسجلات؛ فلا JWT ولا الحصص تضمن وحدها الأمان أو الامتثال.

المراجع الأساسية

• IETF RFC 9700 — OAuth 2.0 Security Best Current Practice [EN]
• IETF RFC 8725 — JWT Best Current Practices [EN]
• OpenID Foundation — OpenID Connect Core 1.0 [EN]
• OWASP — Authorization Cheat Sheet [EN]

{
    "old_origin": "https://login.old.example",
    "old_rp_id": "old.example",
    "new_origin": "https://login.new.example",
    "new_rp_id": "new.example",
    "same_service_account": true,
    "expected": "authenticated_new_registration"
}

{
    "issuance_succeeded": true,
    "proxy_count": 2,
    "proxies_serving_expected_certificate": 1,
    "other_proxy_certificate_expired": true,
    "tls_verification_enabled": true,
    "expected": "change_incomplete_fix_and_verify_client_paths"
}