会话与令牌 — 从浏览器到服务网格
登录之后有什么在流动，又在哪里断掉。
고급 · 课时 27 · 实验 9
课程大纲
会话 Cookie 的属性与前缀
- 浏览器会悄悄丢弃不合规则的 Cookie reading
- 签发 __Host- 会话 Cookie 并正确删除 lab
- 测验：会话 Cookie 的属性与前缀 quiz
服务器会话与会话固定
- 登录了，会话 ID 却没变 reading
- Redis 会话与会话固定防御 lab
- 测验：服务器会话与会话固定 quiz
CSRF 与 SameSite 的局限
- 仅凭 Cookie 无法知道请求来自哪里 reading
- 用伪造请求检验 CSRF 防御 lab
- 测验：CSRF 与 SameSite 的局限 quiz
用 BFF 把令牌留在浏览器之外
- 不把令牌放在浏览器里的方法：BFF reading
- 用 BFF 把令牌留在浏览器之外 lab
- 测验：BFF 模式 quiz
JWT 签名验证与 alg 混淆防御
- 别让令牌告诉你怎么验证它 reading
- JWT 签名验证与 alg 混淆、kid 注入防御 lab
- 测验：JWT 签名验证与 alg 混淆 quiz
刷新令牌轮换与重用检测
- 服务器如何察觉被盗的刷新令牌 reading
- 刷新令牌轮换与重用检测 lab
- 测验：刷新令牌轮换与重用检测 quiz
令牌吊销策略
- 已经登出，令牌却还能用 reading
- 令牌吊销 — introspection、revocation、阻止列表 lab
- 测验：令牌吊销策略 quiz
服务间委托与令牌交换
- 为什么不能原样转交收到的令牌 reading
- client credentials 与令牌交换（亲手搭建 STS） lab
- 测验：服务间委托与令牌交换 quiz
网格边界上的 JWT 与 mTLS
- 有了 mTLS 为什么还要验证 JWT reading
- Envoy jwt_authn 与两种身份 lab
- 测验：网格边界上的 JWT 与 mTLS quiz
参考文档
- 官方文档 · datatracker.ietf.org · draft ietf httpbis rfc6265bis
- OWASP Session Management Cheat Sheet
- OWASP CSRF Prevention Cheat Sheet
- RFC 8725 — JWT Best Current Practices
- RFC 9700 — OAuth 2.0 Security Best Current Practice
- 官方文档 · datatracker.ietf.org · rfc7009
- 官方文档 · datatracker.ietf.org · rfc7662
- RFC 8693 — OAuth 2.0 Token Exchange
- 官方文档 · www.envoyproxy.io · jwt_authn_filter