Secondo il RFC JWT, un token JWT può opzionalmente avere un jti che io interpreto come un ID univoco per un token JWT. Sembra che un UUID sia un buon valore per un jti. La RFC afferma che il jti può essere usato per impedire che il JWT venga riprodotto. Due domande
- In che modo un JTI impedisce la riproduzione di una JWT?
- Con quale frequenza dovrebbe essere rigenerato il campo JTI? Ad ogni richiesta? o solo quando viene generato un nuovo token?
The "jti" (JWT ID) claim provides a unique identifier for the JWT.
The identifier value MUST be assigned in a manner that ensures that
there is a negligible probability that the same value will be
accidentally assigned to a different data object; if the application
uses multiple issuers, collisions MUST be prevented among values
produced by different issuers as well. The "jti" claim can be used
to prevent the JWT from being replayed. The "jti" value is a case-
sensitive string. Use of this claim is OPTIONAL.