OAuth, JWT и шлюзы: разделяйте меры безопасности

Выбрать роль до инструмента

Токен доступа OAuth может быть непрозрачным или использовать JWT. Декодирование JWT не проверяет подлинность; подписанный JWT не шифрует содержимое автоматически. Шлюз не заменяет бизнес-авторизацию в сервисах.

Проверять протокол и каждый доступ

• Выбирайте поток под клиента. Для пользовательских сценариев следуйте текущим рекомендациям по коду авторизации и PKCE с поддерживаемой библиотекой и строгими перенаправлениями.
• У принимаемого JWT проверяйте подпись, разрешённые алгоритмы, издателя, аудиторию и временные условия профиля. Отклоняйте токены иного назначения.
• Проверяйте каждый объект, действие и организацию. Тестируйте межаккаунтный доступ на вымышленных данных; общей роли или области не всегда достаточно.

Планировать срок действия, отзыв и инциденты

Опишите обновление, ротацию ключей, утрату секретов и отзыв. Локальная проверка токена не узнаёт об удалённом отзыве автоматически. Минимизируйте данные токенов и журналы; JWT и квоты сами по себе не гарантируют безопасность или соответствие требованиям.

Первоисточники

• IETF RFC 9700 — OAuth 2.0 Security Best Current Practice [EN]
• IETF RFC 8725 — JWT Best Current Practices [EN]
• OpenID Foundation — OpenID Connect Core 1.0 [EN]
• OWASP — Authorization Cheat Sheet [EN]

{
    "old_origin": "https://login.old.example",
    "old_rp_id": "old.example",
    "new_origin": "https://login.new.example",
    "new_rp_id": "new.example",
    "same_service_account": true,
    "expected": "authenticated_new_registration"
}

{
    "issuance_succeeded": true,
    "proxy_count": 2,
    "proxies_serving_expected_certificate": 1,
    "other_proxy_certificate_expired": true,
    "tls_verification_enabled": true,
    "expected": "change_incomplete_fix_and_verify_client_paths"
}