SPA認証トークンはlocalStorageでもCookieでもない、Auth0方式はいいねというお話 - @mizumotokのブログ

SPA認証トークンをどこに保存するかは論争が絶えません。localStorageやCookieがよく使われますが、Auth0は違う方法を採用しています。この記事では、Auth0のトークン管理の方式を理解でき、トークン管理上のセキュリティへの理解を深めることができます。 SPAの認証トークンをどこに保存するか ブラウザでトークンを保存できる場所 保存場所の比較 メリット・デメリット Auth0のアプローチ トークンはインメモリに保存 OpenID Connect準拠とトークン取得のUI/UXの悪化回避を両立 Auth0のjsライブラリ ログイン アクセストークンの（再）取得 図解 ログイン アクセストークンの（再）取得 自サービス内の認証だけのもっと簡易な構成 ログイン IDトークン取得 まとめ SPAの認証トークンをどこに保存するか React やVueで認証付きSPA（Single Pa

[ockeghem]

悪意のあるサードパーティのJavaScriptやXSSは、元々あるJavaScriptと同じ権限を持つので、トークン類をどこに保存しても脅威はあまり変わらない。よって、できるだけシンプルな実装をお勧めします

[infobloga]

これ、第三者のコードがAuth0のアクセスポイントにアクセスすればトークンを取得できるわけだから、「他のJSからのアクセスが困難」というメリットは実際にはないと思う。

[NOV1975]

cookieが漏洩しない前提ならどこでも変わらん問題では？

[akibare]

最終的にはAuth0のCookieに頼っているのでsecurity by obscurityっぽいけど、トークンをCookieに直接入れるよりはやや安全といえるのかな？単純なCSRFは防げてUXが劣化しない。

[ku__ra__ge]

『Auth0のサーバとはCookieでセッションを維持しておき、トークンが有効でないとき（タブを閉じて消えたとき、トークンの有効期限が切れたとき）にAuth0のサーバから取得しているわけです。』　んんん？

[xlc]

認証状態を継続させたいなら何らかの形で「保存」が必要で、その保存方法の漏洩のリスクがいかほどかという話だと思うのだが。自分で発明せず定番の方法を使うのがよいと思うよ。

[kimihito]

https://firebase.google.com/docs/auth/web/service-worker-sessions?hl=ja があったなーというのを思い出した

[shotawatanabe]

localStorageとかシークレットモードで使えないし、ブラウザのセキュリティ関連で仕様がコロコロ変わりすぎて使えない

[Fluss_kawa]

XSS仕掛けられる時点でリフレッシュトークン取り出せちゃうから、アクセストークン取得しちゃえるから実は保存場所ってそんなに重要ではない気がする。メモリの方がカジュアルハッキングには強いのかもしれんけど

[nannan12]

被害を抑えるにはIDaaSで許可するリクエストを制限するのが一番かもですね

[rrrkaneko]

Implicit Grant FlowはOAuth2.1で非推奨に。

[hdampty7]

httponlyでないcookieをこの文脈で語るのは混同の元。

[takyam1213]

つまりcookie sessionでいいってことですかね……！

[n314]

複雑な割にセキュリティあまり向上してなくない？と思ったらブコメに既に書かれていた。本当に悪意あるライブラリが紛れてても安全ってうたってるのかな？

[Helfard]

いやいや待って、通信したらあかんのでは？

[okzk]

「自サービス内の認証だけの場合Implicit flowで十分」って、そもそもSPAがID TokenのConsumerになって嬉しいユースケースって(Detached Signature以外で)あるのかな？

[Nyoho]

“SPAの認証トークンをどこに保存するか”

[umai_bow]

絨毯爆撃的な攻撃ができないって話なのかな

[yarumato]

“SPA認証トークンをどこに保存するか論争。localStorageやCookieがよく使われますが、Auth0は違う方法を採用。トークンはインメモリに保存。自サービス内の認証だけのもっと簡易な構成”

[knjname]

XSS言い出したら極論なんでもできるけど、度合いで検討する話だと思う　とにかく自サイトでのCookieや他ストレージ不要、トークンもコード内で閉包されてれば取り出しようがないというのはいいよね

[hasiduki]

むずかしー！！！！！

[Funyapu]

リロード、別タブ対応どうなんだろ

[taku-o]

auth0公式にある資料は割と面白いよね

[tettekete37564]

この辺のデファクト知らないので後で読む

[door-s-dev]

リロードで消えるのは流石に不便な気がするけど要件次第

[aktkro]

謎

[dorapon2000]

“Auth0ではインメモリでトークンを保持しつつ、必要なときはAuth0サーバに取りに行く仕組みになっている”

[kokuyouwind]

sendMessage使ったインメモリでのトークン保持、いろいろ調べたけどこの記事の図が一番わかりやすかったわ