envoyproxy/envoy

Add configurable verification of HttpOnly cookies in JWTAuthentication filter

Open

#7025 aperta il 21 mag 2019

Vedi su GitHub
 (25 commenti) (4 reazioni) (0 assegnatari)C++ (5373 fork)batch import
enhancementhelp wanted

Metriche repository

Star
 (27.997 star)
Metriche merge PR
 (Merge medio 8g) (378 PR mergiate in 30 g)

Descrizione

Title: Add configurable verification of HttpOnly cookies in JWTAuthentication filter

Problem:

One of the methods to protect against XSS attacks and token theft in web apps is the HttpOnly cookie that is set by the server, and that is not accessible from Javascript. A digest of the cookie value is recorded in the token and is verified by the server when the browser sends a request.

Proposal:

It would be very useful for JWT Authentication filter to extract the value from the cookie, take a sha256 digest and verify that a claim with the corresponding value is in the token.

Headers:

Cookie: secure_key=secure_value_1234567890

Envoy config

verify_secure_cookie: key: "secure_key" transform: [sha256, plaintext] claim_name: "cookie_key"

Guida contributor

Direzione di ricerca
Concentrati sul filtro di autenticazione JWT in Envoy. Comprendi come vengono attualmente estratti i cookie e come aggiungere una verifica del digest configurabile. Guarda gli esempi esistenti di filtri configurabili come riferimento.
Tech stack
cpp
Dominio
backendsecurityauthentication
Tipo issue
Funzionalità
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
2
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
Mezza giornata
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Attiva
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Chiara
Prerequisiti
C++JWTEnvoy
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
30