Auditar uma autenticação com JWT: erros comuns e código corrigido

Prompt

Atua como engenheiro de segurança aplicacional especializado em autenticação de APIs.

Revê esta implementação de autenticação com JWT:
{{codigo}}

Contexto:
- Stack e biblioteca JWT: {{stack}}
- Tipo de cliente: {{cliente}}
- Quem emite os tokens: {{emissor}}

Entregáveis:
1. Problemas com gravidade (crítica, alta, média, baixa), excerto afetado, risco explicado numa frase e correção. Verifica no mínimo:
   - Verificação da assinatura com uma lista explícita de algoritmos permitidos; rejeição de `alg: none` e da confusão entre algoritmos simétricos e assimétricos.
   - Validação de `exp`, `nbf`, `iss` e `aud`, com uma pequena margem para desvios de relógio.
   - Duração do access token e uso de refresh tokens com rotação e deteção de reutilização.
   - Revogação e logout: lista de bloqueio, versão de sessão ou tokens de curta duração.
   - Armazenamento no cliente: `localStorage` versus cookie `HttpOnly`, `Secure`, `SameSite`, e a proteção CSRF que cada opção exige.
   - Segredos e chaves: robustez, onde estão guardados, rotação com `kid` ou JWKS.
   - Dados sensíveis no payload (apenas codificado, não cifrado) e tamanho do token.
   - Tratamento de erros: mensagens que não revelem informação e registos sem tokens completos.
2. Código corrigido para a minha stack, com uma biblioteca mantida e sem criptografia feita à mão.
3. Testes automáticos para cada problema crítico ou alto: token expirado, assinatura inválida, `alg` não permitido, audiência errada e refresh token reutilizado.
4. Uma ordem de prioridade das correções se não puder fazer tudo de uma vez.

Restrições:
- Não afirmes que o sistema fica totalmente seguro; recomenda uma revisão de segurança ou teste de intrusão antes de produção se tratar dados sensíveis.
- Se faltar parte do fluxo (emissão, refresh ou logout), pede-ma antes de concluir ou marca como [PREENCHER].
- Nunca reproduzas segredos reais que apareçam no código: substitui-os por marcadores.

Como utilizar

Exemplo de utilização

Exemplo de resultado

const jwt = require('jsonwebtoken');

const VERIFY_OPTS = {
  algorithms: ['HS256'],                 // nunca confiar no alg anunciado pelo token
  issuer: 'https://api.exemplo.pt',      // [COMPLETAR]
  audience: 'spa-exemplo',               // [COMPLETAR]
  clockTolerance: 30,                    // segundos de margem de relógio
};

function requireAuth(req, res, next) {
  const token = req.cookies?.access_token; // cookie HttpOnly, Secure, SameSite
  if (!token) return res.status(401).json({ error: 'unauthorized' });
  try {
    const { sub, role } = jwt.verify(token, process.env.JWT_SECRET, VERIFY_OPTS);
    req.user = { id: sub, role };
    return next();
  } catch {
    return res.status(401).json({ error: 'unauthorized' }); // sem detalhes para o cliente
  }
}

Dados-chave

Categoria

Programação e desenvolvimento · APIs

Tipo de resultado

Código

Nível

Avançado

Pensado para

ChatGPT, Claude, Gemini e Microsoft Copilot

Verificado em

Pendente de verificação editorial

Variáveis

Código atual, Stack e biblioteca, Tipo de cliente e Emissor dos tokens

Idioma

Português

Preço

Gratuito, sem registo

Atualizado

07/11/2026

Perguntas frequentes