Firmado de JSON Web Tokens con Librería JWT en Node.js
Curso de OAuth 2.0 y OpenID Connect: Flujos de Autenticación y Casos de Estudio
Contenido del curso
Curso de OAuth 2.0 y OpenID Connect: Flujos de Autenticación y Casos de Estudio
Clase 9 de 25
Clase 9 / 25
Mauricio Combariza
Carlos Andreimy
Santiago Vizcaino
Alvaro Jose Vanegas Vidal
Guillermo Rodas
Profesor
Angel Javier Sanchez Tenjo
Alvaro Salinas Dockar
Damián Valenzuela Negrete
Steve Anthony Luzquiños Agama
Sergio Andrés Bolaños Penagos
Adjunto los codigos que uso en python para la creación de los tokens en FastAPI.
# Esta función firma los tokens def signJWT(email: str, perfil: int): payload = { "userID": email, "perfilID": perfil, "expiry": time.time() + 600 } token = jwt.encode(payload, JWT_SECRET, algorithm=JWT_ALGORITHM) return token_response(token)
//Using C# Net7 using Microsoft.IdentityModel.Tokens; using System.IdentityModel.Tokens.Jwt; using System.Security.Claims; using System.Text; namespace PlayOauth { public class JwtHandler { private readonly string secretKey; public JwtHandler(string secretKey) { this.secretKey = secretKey; } public string GenerateToken(string username, int expirationMinutes = 60) { var key = Encoding.ASCII.GetBytes(secretKey); var tokenHandler = new JwtSecurityTokenHandler(); var tokenDescriptor = new SecurityTokenDescriptor { Subject = new ClaimsIdentity(new[] { new Claim(ClaimTypes.Name, username), }), Expires = DateTime.UtcNow.AddMinutes(expirationMinutes), SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(key), SecurityAlgorithms.HmacSha256Signature) }; var token = tokenHandler.CreateToken(tokenDescriptor); return tokenHandler.WriteToken(token); } } }
private async Task<Tuple<string, string>> GenerateToken(IdentityUser user) { var jwtTokenHandler = new JwtSecurityTokenHandler(); var symmetricSecurityKey = new SymmetricSecurityKey(Encoding.ASCII.GetBytes(_jwtSettings.Key)); var userClaims = await _userManager.GetClaimsAsync(user); var roles = await _userManager.GetRolesAsync(user); var roleClaims = new List<Claim>(); foreach (var item in roles) { roleClaims.Add(new Claim(ClaimTypes.Role, item)); } var tokenDescriptor = new SecurityTokenDescriptor { Subject = new ClaimsIdentity(new[] { new Claim("Id",user.Id), new Claim(JwtRegisteredClaimNames.Email,user.Email), new Claim(JwtRegisteredClaimNames.Sub,user.UserName), new Claim(JwtRegisteredClaimNames.Jti,Guid.NewGuid().ToString()), }.Union(userClaims) .Union(roleClaims) ), Expires = DateTime.UtcNow.Add(_jwtSettings.ExpireTime), SigningCredentials = new SigningCredentials(symmetricSecurityKey, SecurityAlgorithms.HmacSha256Signature) }; var token = jwtTokenHandler.CreateToken(tokenDescriptor); var jwtToken = jwtTokenHandler.WriteToken(token); var refreshToken = new RefreshToken { JwtId = token.Id, IsUsed = false, IsRevoked = false, UserId = user.Id, CreatedDate = DateTime.UtcNow, ExpireDate = DateTime.UtcNow.AddMonths(6), Token = $"{GenerateRandomTokenCharacters(35)}{Guid.NewGuid()}" }; await _cleanArchitectureIdentityDbContext.RefreshTokens!.AddAsync(refreshToken); await _cleanArchitectureIdentityDbContext.SaveChangesAsync(); return new Tuple<string, string>(jwtToken, refreshToken.Token); }
¿cuando es mas practico utilizar cada uno de los firmados?
Si no estoy mal lo explicamos en clase o más adelante, pero basicamente lo ideal es irse siempre con el firmado asimetrico ya que de esa forma siempre se puede otorgar una llave publica a terceros y es más fácil de rotar.
Si la comunicación siempre es entre sistemas seguros, el firmado simetrico esta bien.
Firmar el JWT (Auth Server)
import io.jsonwebtoken.Jwts; import io.jsonwebtoken.SignatureAlgorithm; import java.security.PrivateKey; import java.util.Date; import java.util.HashMap; import java.util.Map; public class JwtSigner { private final PrivateKey privateKey; public JwtSigner(PrivateKey privateKey) { this.privateKey = privateKey; } public String generateToken(String userId, String role) { Map<String, Object> claims = new HashMap<>(); claims.put("role", role); return Jwts.builder() .setSubject(userId) .setIssuer("xolit-auth-server") .setIssuedAt(new Date()) .setExpiration(new Date(System.currentTimeMillis() + 3600_000)) // 1h .addClaims(claims) .signWith(privateKey, SignatureAlgorithm.RS256) .compact(); } }
Alguien sabe que plugin está usando para cubrir las variables de entorno?
creo que es: Dotenv Official +Vault
Una que te recomiendo es Cloak:
Qué clase tan increible
