Node.js - Expressバックエンドを使用したJWTでの秘密情報の保存

Question

RESTful API経由でバックエンドと通信するAngular Webアプリケーションを開発しています。現在、JWTを使用して状態（現在のユーザーIDなど）を保存しています。私はNode.js-ExpressアプリケーションでJWTを実装するためにjsonwebtokenとpassport-jwtパッケージを使用します。

時には、セッションに関連するいくつかの情報（たとえば、秘密の暗号化キー）を状態に保存する必要があるかもしれませんが、ユーザーはそれを知るべきではありません。

JWTペイロードは署名されていますが暗号化されていないため、その内容はデコードする人にとっては明白です。秘密のコンテンツを直接ペイロードに格納することは適切ではありません。私はJWT文字列全体か、ペイロード内の秘密変数値のどちらかの自己作成暗号化を実装することができますが、これを処理する "正しい"または "伝統的な"方法を探しています。

Answer 1

最善の方法は、バックエンドに保存することです。何らかの永続的な記憶域でハッシュ化することをお勧めします。

これが不可能な場合は、JWTに保存できますが、データを暗号化してから入力する必要があります。

おそらくBcryptはまだ安全である最も簡単な解決策はhttps://www.npmjs.com/package/bcryptjsです。暗号化の速度が遅くなるほどセキュリティが強化されることに注意してください。