Technische Entscheidungen · Middle · Frage 10 von 14
Eine Web-App spricht mit ihrer eigenen API auf derselben Domain. Der Support muss eine gestohlene Sitzung sofort beenden können. Wie behandelst du Sitzungen?
- 1Zustandslose JWTs mit 15 Minuten Lebensdauer
- 2Serversitzungen mit einem
HttpOnly-Cookie - 3Langlebige JWTs in
localStorage
Antwort zeigen
Richtige Antwort: Serversitzungen mit einem HttpOnly-Cookie
Erklärung
Mit Sitzungen auf dem Server beendet das Löschen des Datensatzes den Zugriff sofort, und ein HttpOnly-Cookie bleibt außer Reichweite von Skripten. JWTs in localStorage passen hier zu fast nichts: ein XSS-Bug kann sie lesen, und sie lassen sich nicht widerrufen. Kurzlebige JWTs passen zu vielen unabhängigen Diensten, die Tokens selbst prüfen, aber ein gestohlenes Token bleibt bis zum Ablauf gültig, außer man ergänzt eine Widerrufsliste.