Oturum, cookie ve JWT

Oturum Neden Gerekir

HTTP her isteği birbirinden bağımsız işler. Kullanıcı giriş yaptıktan sonra sunucunun bir sonraki istekte onu tanıması için tarayıcının her istekte "ben buyum" diyen bir değer göndermesi gerekir. Bu değeri üretip doğrulama işine oturum yönetimi (session management) denir.¹

Next.js dokümantasyonu işi üç parçaya ayırır:²

Bu ders ortadaki parçayla ilgili. Oturumu tutmanın iki yaygın yolu var: sunucu oturumu ve JWT.

Sunucu Oturumu

Kullanıcı giriş yapınca sunucu rastgele bir oturum kimliği (session ID) üretir, bunu veritabanına kaydeder ve tarayıcıya bir cookie ile gönderir. Tarayıcı sonraki her istekte bu cookie'yi geri yollar, sunucu da kimliği veritabanında arar.³

HTTP/1.1 200 OK
Set-Cookie: __Host-session=k7Qp2v...; HttpOnly; Secure; SameSite=Lax; Path=/; Max-Age=604800

Cookie'de kullanıcıya dair hiçbir bilgi yoktur; yalnızca tahmin edilemeyen bir anahtar vardır. OWASP bu kimliğin en az 64 bit entropiye sahip olmasını ve güvenli bir rastgele sayı üreteciyle üretilmesini ister.⁴ Pilcrow ayrıca gizli değeri veritabanına hash'leyerek kaydetmeyi önerir.³

En büyük avantajı kontrolün sunucuda olmasıdır: oturumu veritabanından silmek kullanıcıyı anında çıkarır. "Tüm cihazlardan çıkış yap" gibi özellikler bu yüzden kolaydır.⁵

JWT

JSON Web Token, nokta ile ayrılmış üç parçadan oluşan bir metindir: header, payload ve imza. İlk iki parça Base64URL ile kodlanmış JSON'dır.⁶

eyJhbGciOiJIUzI1NiJ9.eyJyb2xlIjoiY3VzdG9tZXIiLCJzdWIiOiJ1c2VyXzQyIiwiaWF0IjoxNzkyMzE5NTkyLCJleHAiOjE3OTIzMjA0OTJ9.taq0IJqNLhO36wrUVbxqry0i_t9l5cN5NhM7WXD4vTU

İlk noktaya kadar olan kısım header, ikinci noktaya kadar olan kısım payload, sonrası imzadır.

Payload'daki alanlara claim denir. Standart olanlar sub (kim), exp (ne zaman geçersiz olur), iat (ne zaman üretildi), iss (kim üretti) ve aud (kimin için) gibi kısa adlardır.⁷

Sunucu oturumunun tersine JWT bilgiyi kendisi taşır. Sunucu her istekte veritabanına gitmez, yalnızca imzayı kontrol eder. İmza, payload'ın değiştirilmediğini garanti eder.⁶

Bunu jose kütüphanesiyle deneyebilirsiniz:

import { SignJWT, decodeJwt, jwtVerify } from "jose";

const secret = new TextEncoder().encode(process.env.SESSION_SECRET);

const token = await new SignJWT({ role: "customer" })
  .setProtectedHeader({ alg: "HS256" })
  .setSubject("user_42")
  .setIssuedAt()
  .setExpirationTime("15m")
  .sign(secret);

// Payload'ı okumak için anahtar gerekmez
console.log(decodeJwt(token));
// { role: "customer", sub: "user_42", iat: 1792319592, exp: 1792320492 }

// Doğrulamak için gerekir
const { payload: session } = await jwtVerify(token, secret, {
  algorithms: ["HS256"],
});

Payload'daki role değerini admin yapıp token'ı tekrar gönderirseniz jwtVerify signature verification failed hatası verir. Header'a "alg": "none" yazıp imzayı silmek de işe yaramaz, çünkü algorithms listesi yalnızca HS256'yı kabul eder. JWT için güvenlik önerilerini toplayan RFC 8725 tam olarak bunu ister: kütüphane hangi algoritmaların kabul edileceğini sizden almalı ve doğrulamalardan biri bile başarısız olursa token'ın tamamını reddetmelidir.⁸

Hangisini Seçmeli

Auth.js dokümantasyonu farkı açıkça yazar: süresi dolmadan bir JWT'yi geçersiz kılmak mümkün değildir; veritabanı oturumu ise istenen anda değiştirilip silinebilir.⁵ Auth.js veritabanı tanımlanmadığında JWT'yi varsayılan seçer ama token'ı imzalamakla kalmaz, sunucuya özel bir anahtarla şifreler ve HttpOnly bir cookie'ye koyar.⁵

Randall Degges'in "JWTs Suck" sunumu da aynı sonuca varır: tarayıcıdaki bir web uygulaması için klasik oturum cookie'si çoğu zaman daha basit ve daha güvenlidir. JWT kullanacaksanız ömrünü kısa tutun.⁹

Cookie Bayrakları

Hangi yolu seçerseniz seçin, değer büyük ihtimalle bir cookie içinde gider. Cookie'nin güvenliğini Set-Cookie başlığındaki bayraklar belirler:¹

OWASP oturum cookie'si için Secure ve HttpOnly'yi zorunlu sayar; SameSite için Strict ya da Lax ister ve __Host- önekini önerir.⁴ Pilcrow ise Lax'ı tercih eder, çünkü Strict başka bir siteden linke tıklayarak gelen kullanıcıyı çıkış yapmış gibi gösterir.¹⁰

Aşağıdaki iki cookie'yi gönderen bir sayfa Chromium'da açıldığında document.cookie yalnızca theme=dark döndürdü; session_id DevTools'ta görünür ama JavaScript'ten okunamaz:

Set-Cookie: session_id=abc123; HttpOnly; SameSite=Lax; Path=/
Set-Cookie: theme=dark; SameSite=Lax; Path=/

Next.js Next.js'te cookie'yi sunucuda, cookies() API'siyle aynı bayraklarla yazarsınız:²

import { cookies } from "next/headers";

const cookieStore = await cookies();
cookieStore.set("session", session, {
  httpOnly: true,
  secure: true,
  sameSite: "lax",
  path: "/",
  expires: expiresAt,
});

Token'ı Nerede Saklamalı

En çok tartışılan soru bu. OWASP'ın yanıtı net: oturum kimliğini ya da token'ı localStorage veya sessionStorage'a koymayın, çünkü sayfada çalışan her JavaScript bunlara erişebilir.⁴¹¹

HttpOnly sihirli bir kalkan değildir. Pilcrow'un hatırlattığı gibi, XSS açığı olan bir sayfada saldırgan cookie'yi okuyamasa da kullanıcı adına istek atabilir. HttpOnly'nin sağladığı şey, token'ın kopyalanıp başka yerden kullanılmasını engellemektir.¹⁰ XSS'e karşı asıl önlemler XSS ve CSP dersinde.

Tarayıcıda çalışan ve başka bir API'ye token gönderen uygulamalar için güncel öneri Backend for Frontend (BFF) desenidir: token'lar sunucuda kalır, tarayıcı yalnızca HttpOnly bir oturum cookie'si taşır.⁴ Philippe De Ryck'in LocoMocoSec konuşması cookie ile token seçiminin bu ödünleşimlerini anlatır.¹²

Oturumun Yaşam Döngüsü

OWASP düşük riskli uygulamalar için 15–30 dakikalık işlemsizlik süresini makul bulur.⁴ Uzun süre açık kalan uygulamalarda oturum kullanıldıkça uzatılır; parola değiştirmek gibi hassas işlemler için kullanıcıdan kimliğini yeniden doğrulaması istenir.¹³

Kendin Dene

• Giriş yaptığınız bir sitede DevTools > Application > Cookies sekmesini açın. Oturum cookie'sinin HttpOnly, Secure ve SameSite sütunlarına bakın.

• Aynı sayfanın konsolunda document.cookie yazın; HttpOnly cookie'nin listede olmadığını görün.

• jwt.io'daki örnek token'ın payload'ını değiştirin ve imzanın geçersiz olduğunu görün.

Detaylı Öğrenmek İçin

• Rehber: Pilcrow'un auth kitabı; oturum, cookie ve tarayıcı depolaması için kısa ve net sayfalar.³¹⁰

• Resmi doküman: OWASP Session Management Cheat Sheet; kimlik uzunluğu, cookie bayrakları ve süre önerileri.⁴

• Konuşma: Philippe De Ryck, "The truth about cookies, tokens and APIs" (LocoMocoSec 2019, 38 dk).¹²

• Sunum: Randall Degges, "JWTs Suck"; JWT ile oturum cookie'sinin madde madde karşılaştırması.⁹

• Resmi doküman: Next.js Authentication rehberi; stateless ve database oturumları, cookie ayarları.²