VY
их штук 9
Size: a a a
2021 June 10
AS
https://github.com/dgrijalva/jwt-go это единственный, который рекомендуют безопасники
AS
все остальное - на свой страх и риск
VY
а в самом токене userId выглядит как строка или как число?
VY
скажите, пожалуйста, а откуда такая информация?
VY
ну, про рекомендацию
AE
https://github.com/cristalhq/jwt - вот еще хороший пакет
SK
стандарт простой, обосраться сложно, по факту уязвимостей может быть всего две:
принимать algo: none и неправильно работать с полем exp
принимать algo: none и неправильно работать с полем exp
AS
от самих безопасников из нескольких больших контор, с любой другой либой приложение просто не пройдет аудит
VY
ага, а ещё там нет валидации клэймов iat и подобных
VY
видать, местячковые безопасники такие безопасники
AS
ну как бы остальные пакеты никто даже всерьез и не проверял судя по тому, что там такого не нарыли
IK
Число
SK
как же нет?
VY
ну вот MapClaims просто из жсона значения берёт как есть и в interface{} пихает
с
оно еще и тянется везде, из-за чего линтеры проверяющие уязвимые зависимости ругаются
с
и никто не мейнтейнит это
VY
о, и правда. я ориентировался на сравнение отсюда: https://jwt.io/ (внизу)