Ho un'applicazione PHP, attualmente è molto dipendente da Sessions. Sto cercando di rimuovere la maggior parte, se non tutti, l'utilizzo della sessione da esso.
Quando si tratta di loggare un utente in. Ho alcune scelte,
- continua a utilizzare le sessioni per memorizzare i dati utente di base.
- genera il mio token basato su cookie, che punta a un ID di informazioni memorizzate in memcache con i dati utente di base al suo interno, per verificare l'utente
- genera token JWT, archiviato in cookie e utilizzato per archiviare un ID che punta alle informazioni in memcache per verificare l'utente.
Fondamentalmente, sto cercando di evitare problemi come il dirottamento di sessione ecc. ma non sono sicuro che l'implementazione di un sistema JWT sarà utile come inizialmente pensavo.
C'è molto scritto sembra sui pro di JWT, ma ugualmente, molto scritto su "non usare JWT per le sessioni"
Dato che non sto pianificando di archiviare dati utente reali nel token JWT, solo un ID, c'è molto vantaggio su questo rispetto a un ID di sessione PHP standard?
Il vantaggio principale che vedo è che posso assicurarmi che non sia stato manomesso, ma che comunque sarei stato in grado di dirottare dato che è stato memorizzato in un cookie?
Garantire che il cookie sia HTTP_Only non sarebbe di aiuto in alcuni aspetti.
Quindi, da un punto di vista della sicurezza, qual è il problema più affidabile, meno incline alla sicurezza, metodo di memorizzazione di ciò che è fondamentalmente un ID di sessione archiviato in un altro formato.