如果用httpOnly cookie存储token,还需要refresh吗?

Question

一般用jwt来进行权鉴的项目,需要两个token,一个是access,一个是refresh.但是我现在用nextjs,并且是以下架构,请问还需要refresh吗,为什么?

1. 我所有的请求都是server action完成,也就是说没有任何接口在客户端暴露
2. 我看nextjs官方的文档就是一个token的架构,我也是按照官方的架构,使用一个token,并将其存储在httpOnly cookie里面,也就是说客户端无法通过xss,csrf来攻击取得token
3. 我的项目部署在aws,通过https协议通信,也就是说无法功过man in middle来劫持通信.
4. 我的token生命周期设置的1个星期

我想问,在这种情况下还有必要使用access+refresk token的架构吗,我现在架构有什么不安全的地方吗? 在我看来除非是人为的使用别人的电脑能窃取token,除此之外通过网络攻击是没有可能的,也就是说这个网站足够安全,真心向大佬求教,我的这个项目架构是否足够安全.感谢

Answer 1

你这个架构 token 存 HTTP-only Cookie 里，而且所有操作都在服务器完成了， XSS 和 CSRF的风险，同时还有 HTTPS，足够安全了，需不需要用access+refresk token架构，看你的安全级别了还有数据敏感程度，后续的开发维护成本

Answer 2

在你的架构中，使用单一token已经提供了较高的安全性，但引入refresh token可以进一步提高安全性，特别是在token泄露的情况下，例如服务器日志、第三方库漏洞，跨站脚本攻击（XSS），用户设备被盗。

补充

1.服务器日志泄露

场景： 假设你的服务器日志中意外记录了HTTP请求的详细信息，包括httpOnly cookie中的access token。
示例：

// 假设某个请求被记录在日志中
const logEntry = `GET /api/protected HTTP/1.1
Host: example.com
Cookie: accessToken=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...`;

// 攻击者获取了日志并提取了access token
const stolenAccessToken = 'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...';

// 攻击者使用这个token进行未授权的请求
fetch('/api/protected', {
  headers: {
    'Authorization': `Bearer ${stolenAccessToken}`
  }
});

使用refresh token的优势：

• 如果access token的生命周期只有1小时，即使攻击者获取了token，他们的利用时间也非常有限。
• refresh token不会出现在普通的HTTP请求中，因此不会被记录在日志中。

2. 第三方库漏洞

场景： 你的应用依赖于某个第三方库，这个库存在安全漏洞，导致access token泄露。
示例：

// 假设某个第三方库在处理请求时泄露了access token
const thirdPartyLibrary = require('vulnerable-library');

thirdPartyLibrary.processRequest(req, res, (err, result) => {
  if (err) {
    console.error('Error processing request:', err);
  } else {
    console.log('Request processed successfully:', result);
  }
});

// 攻击者利用漏洞获取了access token
const stolenAccessToken = 'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...';

// 攻击者使用这个token进行未授权的请求
fetch('/api/protected', {
  headers: {
    'Authorization': `Bearer ${stolenAccessToken}`
  }
});

使用refresh token的优势：

• 短生命周期的access token即使被泄露，攻击者的利用时间也有限。
• refresh token可以在安全的服务器端进行管理和刷新，减少被攻击的风险。

3. 跨站脚本攻击（XSS）

场景： 攻击者通过XSS漏洞执行恶意脚本，获取access token。
示例：

// 假设攻击者通过XSS漏洞注入了恶意脚本
const maliciousScript = `
  <script>
    fetch('/api/protected', {
      headers: {
        'Authorization': 'Bearer ' + document.cookie.split('accessToken=')[1]
      }
    }).then(response => response.json()).then(data => {
      console.log('Stolen data:', data);
    });
  </script>
`;

// 攻击者获取了access token并进行未授权的请求
const stolenAccessToken = 'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...';

fetch('/api/protected', {
  headers: {
    'Authorization': `Bearer ${stolenAccessToken}`
  }
});

使用refresh token的优势：

• 短生命周期的access token即使被获取，攻击者的利用时间也有限。
• refresh token可以在安全的服务器端进行管理，进一步减少风险。

4.用户设备被盗

场景： 用户的设备被盗，攻击者获取了设备上的所有cookie，包括access token。
示例：

// 假设攻击者获取了用户设备并提取了cookie
const stolenCookies = 'accessToken=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...; refreshToken=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...';

// 攻击者使用access token进行未授权的请求
const stolenAccessToken = 'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...';

fetch('/api/protected', {
  headers: {
    'Authorization': `Bearer ${stolenAccessToken}`
  }
});

使用refresh token的优势：

• 短生命周期的access token即使被盗，攻击者的利用时间也有限。
• 用户可以通过重新登录来使refresh token失效，从而保护账户安全。

总结

虽然短生命周期的access token可以限制攻击者的利用时间，但使用refresh token可以提供更高的安全性和更好的用户体验。