「JWT を localStorage に置くな」はなぜ言われるのか、Cookie 回帰までの時系列整理

はじめに Webセキュリティの第一人者である徳丸浩氏が X で、JWT と Cookie セッションの関係についてこんな投稿をされていました。 これはウェブAPI呼び出しの歴史から考えると腑に落ちるのですが、CORSの機能にCookie付与があることからもわかるように、 (1) 昔はクロスオリジンのAPIをCookieによるセッション管理で呼び出す方法が用いられていましたが、 (2) サードパーティクッキー規制などでそれが難しくなり、Authorizationヘッダによるトークン（保存先はlocalStorage）に変わるものの、 (3) 各APIの生トークンをクライアントに保持するのはやはり危険ということでBFFにトークンを隔離すると、 (4) もはやJWTによるセッション管理をクライアントでする必要はないということで伝統的なCookieによるセッション管理に回帰するという流れで考えると

[ockeghem]

私のポストをマクラに詳しい解説をいただきありがとうございます

[atico]

徳丸氏もOWASP v5になった際にブラウザストレージへのセッショントークンの保存が容認されたと言及している様に、昨今のSSRの主流化により、Ajaxの呼び出しが不要になったから、またcookie認証が広がりだしただけ。

[auto_chan]

.netでAがSのPでWebするみたいなオールドなスタイルで生活してると一生ｸｯｷｰ🍪なのでいつのまにか世界が一巡してるのぼけーっと見てるだけ～。連携システムがJWTだとほえーって思いながら付き従うくらいで。

[k-holy]

長年1人で設計・実装・環境構築・運用しているLAMPおじさんとしては、jQueryすらめんどくせー、SPAとか言われだした時点ですでについて行けてなかったけど、シンプルになって戻ってきてくれるなら何よりｗｗｗ

[lainof]

本題とは関係ないのに、途中では業界でも色々なパターンがある話をしてたのに、現在業界全体的でマイクロサービスが当たり前であるかのように話してるのが残念。

[WildWideWeb]

HotwireやHTMXみたいなJavaScriptをなるべく書かない昔ながらのシンプルなアプローチまで遡ったら面白いな(追記：「昔ながら」ではないと某所で怒られました)。このところ支持者も増えてきてるそうですが。

[yojik]

BFF等がありサーバサイドに処理があるならCookie一択、SPAならLocalStrage一択(expireの間隔やペイロードに何を含めるかは注意する)。

[twotiger]

前提としてBFFを使うウェブサイトでの話。BFFないなら別

[jatta]

非常に，非常に学びのある記事だった

[KoshianX]

localStorage に置くのは XSS 見つかったときに読まれるからダメというのはわかるが、結局2023年の App Router 登場で BFF に JWT 置くのが普及してうまく回るようになったって感じか。

[nicht-sein]

後半後で読む

[aarx]

amplifyがlocalstorage使ってるせいもあると思ってる。AWSなら使わざるを得ないがあれは最低のクソ。

[dekaino]

なるほど わかりやすい

[toaruR]

つか、クロスドメイン的に厳しいよね？localStorageだと

[mole-studio]

単純にSSRするとき認証状況がサーバーから見えないからクッキーの方が自然ってずーーーっと前から思ってた

[hakob]

長すぎてみんなちゃんと読んでるのかな。

[infobloga]

ひどい切り取り。JWTをlocalStorageに置くことがセキュリティ的に問題ないということを言っている流れで一歩引いて最近のトレンドを解説した部分。

[sigesaba]

"BFF を立てるなら、クライアント ↔ BFF 間で JWT を使う理由はもはや無くなり、伝統的な Cookie セッションに戻る、と徳丸氏は述べています。"

[pure_luca]

“BFF を立てるなら、クライアント ↔ BFF 間で JWT を使う理由はもはや無くなり、伝統的な Cookie セッションに戻る”

[akasaka_34]

ウェブのトレンドは当てにならんね。

[strawberryhunter]

ちゃんと実装すると、Cookieが署名されているくらいの意味しか残らない。クライアントサイドでは署名も活用できないからマジで無駄なんだわ。

[bfoj]

一周すれば最先端

[miki3k]

よくまとまっていてわかりやすい

[mohno]

君のゆく道は果てしなく遠いなあ……。なので、ずっと手前で止まっている（←オイ）

[maninthemiddle]

人の手で書かれた良いまとめ。

[lifeisadog]

主にウェブアプリ（SPA）の話です

[snowcrush]

セッション管理がステートレスであることをまるでメリットかのように騒いでた人たち、何も学んでいないんだなと当時から苦々しく思っていた

[circled]

SSRが出始めたあたりからフロントエンドが「一周回ってPHP」と言われ出した所以。そして今これ

[hirorinya]

歴史

[shoh8]

輪廻 /ブラウザに持たされていた認証情報をBFFやサーバ側に押し返した

[nguyen-oi]

JWTからCookie回帰の流れ、歴史のサイクルを感じて面白いな