Verificare un’autenticazione JWT: errori comuni e codice corretto

Prompt

Agisci come ingegnere di sicurezza applicativa specializzato nell’autenticazione delle API.

Rivedi questa implementazione di autenticazione JWT:
{{codice}}

Contesto:
- Stack e libreria JWT: {{stack}}
- Tipo di client: {{client}}
- Chi emette i token: {{emittente}}

Consegna:
1. Problemi con gravità (critica, alta, media, bassa), frammento interessato, rischio spiegato in una frase e correzione. Verifica almeno:
   - Verifica della firma con un elenco esplicito di algoritmi ammessi; rifiuto di `alg: none` e della confusione tra algoritmi simmetrici e asimmetrici.
   - Validazione di `exp`, `nbf`, `iss` e `aud`, con un piccolo margine di sfasamento dell’orologio.
   - Durata dell’access token e uso di refresh token con rotazione e rilevamento del riuso.
   - Revoca e logout: lista di blocco, versione di sessione o token di breve durata.
   - Archiviazione lato client: `localStorage` rispetto a un cookie `HttpOnly`, `Secure`, `SameSite`, e la protezione CSRF che ogni opzione richiede.
   - Segreti e chiavi: robustezza, dove sono salvati, rotazione con `kid` o JWKS.
   - Dati sensibili nel payload (solo codificato, non cifrato) e dimensione del token.
   - Gestione degli errori: messaggi che non rivelino informazioni e log senza token completi.
2. Codice corretto per il mio stack, con una libreria mantenuta e senza crittografia fatta in casa.
3. Test automatici per ogni problema critico o alto: token scaduto, firma non valida, `alg` non ammesso, audience errata e refresh token riutilizzato.
4. Un ordine di priorità delle correzioni se non posso fare tutto subito.

Vincoli:
- Non affermare che il sistema sia ora del tutto sicuro; consiglia una revisione di sicurezza o un penetration test prima della produzione se gestisce dati sensibili.
- Se manca una parte del flusso (emissione, refresh o logout), chiedimela prima di trarre conclusioni o segnala [DA COMPLETARE].
- Non riportare mai segreti reali presenti nel codice: sostituiscili con segnaposto.

Come usarlo

Esempio d'uso

Esempio di risultato

const jwt = require('jsonwebtoken');

const VERIFY_OPTS = {
  algorithms: ['HS256'],                 // mai fidarsi dell’alg dichiarato dal token
  issuer: 'https://api.esempio.it',      // [DA COMPLETARE]
  audience: 'spa-esempio',               // [DA COMPLETARE]
  clockTolerance: 30,                    // secondi di tolleranza dell’orologio
};

function requireAuth(req, res, next) {
  const token = req.cookies?.access_token; // cookie HttpOnly, Secure, SameSite
  if (!token) return res.status(401).json({ error: 'unauthorized' });
  try {
    const { sub, role } = jwt.verify(token, process.env.JWT_SECRET, VERIFY_OPTS);
    req.user = { id: sub, role };
    return next();
  } catch {
    return res.status(401).json({ error: 'unauthorized' }); // nessun dettaglio al client
  }
}

Dati chiave

Categoria

Programmazione e sviluppo · API

Tipo di output

Codice

Livello

Avanzato

Pensato per

ChatGPT, Claude, Gemini e Microsoft Copilot

Verificato in

In attesa di verifica editoriale

Variabili

Codice attuale, Stack e libreria, Tipo di client e Emittente dei token

Lingua

Italiano

Prezzo

Gratuito, senza registrazione

Aggiornato

07/11/2026

Domande frequenti