jwt - アプリケーション イメージの再ビルド前に発行された JWT が、イメージのビルド/デプロイ後に機能しない

Question

私のアプリでは、SPA クライアントと Phoenix/Elixir バックエンドを jwt 認証 (Guardian ライブラリ経由) で使用しています。アプリは GCP で Docker を使用してデプロイされます。

以下の問題があります。

1. 私は、jwt を発行された認証済みユーザーです。すべて正常に動作します。

2. 本番アプリケーションの Docker イメージが再構築され、再デプロイされ、サーバーが再起動されます。

3. 再構築の前に発行された jwt トークンが無効になりました。

これを引き起こしている原因を見つけるのに苦労しています。config.exsGuardian 構成で使用される秘密鍵は、ビルド間で常に同じであるように見えます。

どんな助けでも大歓迎です！

Answer 1

ペイロードのコンテンツがメッセージの検証に使用されており、サーバーによって JWT が無効であると見なされるように一部のフィールドが変更されているか、シークレットが実際に変更されており、アサーションが正しくありません。

これを解決する方法は、事前に開発されたツールを使用して JWT を検証することです。秘密鍵を使用して署名を検証できるか、使用できないかのどちらかです。「推測」する必要はありません。