JWT vs Сессии. Павел Кислов | TechMeetUp #10 Java

🔐 Выключил CSRF, поставил stateless — и думаешь, всё настроено правильно? Именно так выглядят почти все туториалы по JWT на YouTube. И именно так выглядят уязвимости в продакшне крупных маркетплейсов и банков. Павел Кислов, эксперт российского Spring-сообщества по Security, в докладе «JWT и Spring Security» разбирает, почему большинство реализаций JWT в вебе небезопасны — и что с этим делать. • Почему отключение CSRF и сессии это не решение, а новая проблема; • Как JWT утекает через расширения браузера и при чём тут XSS и CSRF; • Почему хранить персональные данные и айдишники в JWT — плохая идея; • Чем сессия лучше JWT для веба — и как Big Tech это давно понял; • Как настраивать куки правильно: HTTP-only, Secure, SameSite=Strict; • Почему ИИ-агенты и курсор генерируют этот конфиг неправильно — и никакими промптами это не исправить; Доклад: 00:00 — Павел Кислов: эксперт Spring Security — и дублёр лысого из «Бразерс» 00:36 — Кому полезен доклад: multi-instance, микросервисы, фронтенд, инфобез 01:00 — Самый популярный конфиг JWT на YouTube — и почему он плохой 01:59 — ИИ генерирует этот конфиг неправильно, и промптами это не лечится 03:04 — История: как мы пришли к JWT от сессий и зачем 04:21 — JWT в куках у банков, маркетплейсов — и как оттуда утекают данные 06:44 — Мир мульти-инстанса и идея stateless-авторизации 08:09 — OIDC: как JWT задумывался — и почему не для фронтенда 10:07 — Проблемы JWT: раздувание кук, персональные данные, сложность отзыва 11:31 — Расширения браузера как главная причина компрометации токенов 13:15 — Приватные vs публичные клиенты: бэкенд и браузер — разные контуры 14:00 — JWT в заголовках → XSS. JWT в куках → CSRF. Почему это неизбежно 17:28 — Набор советов: HTTP-only, SameSite=Strict, короткое время жизни 17:42 — ResponseCookie в Spring: только его, никаких javax.servlet 20:00 — JWE: зашифрованный вариант JWT и когда он нужен 21:00 — Финальная битва: JWT vs сессия. Как работает Big Tech 22:08 — Сессия — слепая строчка без персональных данных. Почему это плюс 24:00 — Когда данные мержатся между сервисами: сессия выигрывает Q&A 26:33 — Q&A. Какое оптимальное время жизни JWT-токена? 27:35 — Q&A. Есть рабочий JWT на проде — как мигрировать без боли? 29:07 — Q&A. Плавный переезд: как не перезаписывать всех клиентов сразу? 29:43 — Q&A. Keycloak и сторонние авторизационные решения — актуальна ли проблема? #tech_meetup #systemanalyst #java #spring #jwt #security #tech_meetup10 --- Есть вопросы? Добавляйся в нашу уютную общалку TechCommon (https://t.me/tech_common) 👈 Следи за будущими анонсами на основном канале @tech_meetup (https://t.me/tech_meetup) или в @tech_meetup_jv (https://t.me/tech_meetup_jv) если интересна только Java ❤