JWT-Authentifizierung prüfen: typische Fehler und korrigierter Code

Prompt

Handle als Application-Security-Engineer mit Schwerpunkt API-Authentifizierung.

Prüfe diese JWT-Authentifizierung:
{{code}}

Kontext:
- Stack und JWT-Bibliothek: {{stack}}
- Client-Typ: {{client}}
- Aussteller der Tokens: {{aussteller}}

Liefere:
1. Befunde mit Schweregrad (kritisch, hoch, mittel, niedrig), betroffenem Ausschnitt, dem Risiko in einem Satz und der Korrektur. Prüfe mindestens:
   - Signaturprüfung mit expliziter Allowlist erlaubter Algorithmen; Ablehnung von `alg: none` und von Verwechslungen zwischen symmetrischen und asymmetrischen Algorithmen.
   - Validierung von `exp`, `nbf`, `iss` und `aud` mit kleiner Toleranz für Uhrabweichungen.
   - Lebensdauer des Access Tokens sowie Refresh Tokens mit Rotation und Erkennung von Wiederverwendung.
   - Widerruf und Logout: Sperrliste, Session-Version oder kurzlebige Tokens.
   - Speicherung im Client: `localStorage` gegenüber einem `HttpOnly`-, `Secure`-, `SameSite`-Cookie und der jeweils nötige CSRF-Schutz.
   - Secrets und Schlüssel: Stärke, Speicherort, Rotation mit `kid` oder JWKS.
   - Sensible Daten im Payload (nur kodiert, nicht verschlüsselt) und Tokengröße.
   - Fehlerbehandlung: Meldungen ohne Informationslecks und Logs ohne vollständige Tokens.
2. Korrigierten Code für meinen Stack mit einer gepflegten Bibliothek und ohne selbstgebaute Kryptografie.
3. Automatisierte Tests für jeden kritischen oder hohen Befund: abgelaufenes Token, ungültige Signatur, nicht erlaubter `alg`, falsche Audience und wiederverwendetes Refresh Token.
4. Eine Reihenfolge der Korrekturen, falls ich nicht alles auf einmal umsetzen kann.

Einschränkungen:
- Behaupte nicht, das System sei jetzt vollständig sicher; empfiehl vor der Produktion ein Security-Review oder einen Penetrationstest, wenn sensible Daten verarbeitet werden.
- Fehlt ein Teil des Ablaufs (Ausstellung, Refresh oder Logout), frag danach, bevor du Schlüsse ziehst, oder markiere ihn mit [AUSFÜLLEN].
- Gib echte Secrets aus dem Code niemals wieder: ersetze sie durch Platzhalter.

So verwenden Sie ihn

Anwendungsbeispiel

Beispielergebnis

const jwt = require('jsonwebtoken');

const VERIFY_OPTS = {
  algorithms: ['HS256'],                 // nie dem alg-Header des Tokens vertrauen
  issuer: 'https://api.beispiel.de',     // [AUSFÜLLEN]
  audience: 'beispiel-spa',              // [AUSFÜLLEN]
  clockTolerance: 30,                    // Sekunden Uhrabweichung
};

function requireAuth(req, res, next) {
  const token = req.cookies?.access_token; // HttpOnly-, Secure-, SameSite-Cookie
  if (!token) return res.status(401).json({ error: 'unauthorized' });
  try {
    const { sub, role } = jwt.verify(token, process.env.JWT_SECRET, VERIFY_OPTS);
    req.user = { id: sub, role };
    return next();
  } catch {
    return res.status(401).json({ error: 'unauthorized' }); // keine Details an den Client
  }
}

Wichtige Fakten

Kategorie

Programmierung & Entwicklung · APIs

Ausgabetyp

Code

Niveau

Experte

Entwickelt für

ChatGPT, Claude, Gemini und Microsoft Copilot

Verifiziert in

Redaktionelle Prüfung ausstehend

Variablen

Aktueller Code, Stack und Bibliothek, Client-Typ und Aussteller der Tokens

Sprache

Deutsch

Preis

Kostenlos, ohne Anmeldung

Aktualisiert

07.11.2026

Häufig gestellte Fragen