Wie werden Zugriffstokens verwaltet und geschützt?
amaise verwendet zustandslose Tokens mit abgestuften Gültigkeitsdauern:
Kategorie | Gültigkeit | Einsatz |
Kurzlebig | Minuten | Benutzerzugriffstokens, Datenbanktokens |
Mittelfristig | Stunden – Tage | Refresh-Tokens, Authentifizierungssitzungen |
Langlebig | Konfigurierbar | Machine-to-Machine-Integrationen (API) |
Alle Tokens sind RS256-signiert (JWT) mit Issuer-Whitelist und Audience-Validierung. Refresh-Tokens rotieren bei jeder Erneuerung — das alte Token wird sofort ungültig.
Wichtig: Tokens werden im Frontend ausschliesslich im Arbeitsspeicher gehalten — niemals in localStorage oder sessionStorage. Damit sind sie vor XSS-Angriffen geschützt, die auf persistente Speicher abzielen.
Es gibt keine serverseitigen Sitzungen (stateless). Dadurch sind Session-Hijacking und Session-Fixation-Angriffe ausgeschlossen.