Bir geliştirme veya hazırlık ortamını gerçekçi oturum verileriyle doldurmak, token’ları tek tek oluşturursanız sıkıcıdır. Bu örnek, her biri 256 bit entropi ile 64 karakter uzunluğunda olan beş base64url oturum token’ını aynı anda oluşturur. Toplu oluşturmayı göstermek için miktar 5 olarak ayarlanmıştır, ancak daha büyük tohumlama görevleri için artırabilirsiniz.
Nasıl Kullanılır
- Karakter seti önceden Base64url olarak ayarlanmıştır
- Güvenlik için uzunluk 64 karakterdir (256 bit)
- Miktar 5 token olarak ayarlanmıştır
- Oluştur’a tıklayın
- Her token’ı ayrı ayrı kopyalayın veya Tümünü Kopyala’yı kullanın
Oturum Token’ı En İyi Uygulamaları
Oluşturma
Her oturum token’ı, kriptografik olarak güvenli bir rastgele sayı üretecinden gelmelidir. Rastgele Dize Oluşturucu, tarayıcıda sistem düzeyindeki entropi kaynaklarına eşlenen Web Crypto API’sini kullanır. Oturum token’ları için Math.random() veya herhangi bir PRNG kullanmayın. Güvenli bir rastgele token ile PRNG tarafından oluşturulan bir token arasındaki fark, imkansız tahmin ile bilinen bir saldırı vektörü arasındaki farktır.
Depolama ve Doğrulama
Oturum token’larını asla düz metin olarak saklamayın. Veritabanına eklemeden önce SHA-256 ile hash’leyin ve her istekte hash’i kullanıcı tarafından sağlanan token’lara karşı doğrulayın. Bu, bir veritabanı ihlalinin aktif oturumları ifşa etmemesi anlamına gelir. İstek başına hash’leme yükü, güvenlik avantajına kıyasla ihmal edilebilir düzeydedir.
Döndürme
Oturum token’larını bir son kullanma tarihi ile oluşturun ve periyodik olarak döndürün. Yenileme token’ları ile kısa ömürlü oturumlar (15-60 dakika), güvenlik ve kullanıcı deneyimi arasında iyi bir denge sağlar. Geliştirme ortamları için, riskler daha düşük olduğundan ve üretkenlik için her birkaç dakikada bir yeniden kimlik doğrulama yapmama kolaylığı daha önemli olduğundan, daha uzun süreli geçerlilik kabul edilebilir.