Keystone 6会话令牌验证安全问题咨询：如何防范令牌盗用？

针对你提到的Keystone 6内置认证仅依赖Cookie令牌、易被冒用的问题，用Redis绑定请求指纹是非常可行的方案，下面给你具体的实现思路和额外加固建议：

核心逻辑：令牌+请求指纹双向绑定 #

用户首次登录时，生成令牌的同时提取请求的唯一指纹（比如用户代理+客户端IP的哈希值），将令牌作为Key，指纹、用户ID、过期时间作为Value存储到Redis；之后每一次请求，都验证当前请求的指纹与Redis中绑定的指纹是否一致，不匹配则直接拒绝访问。

具体实现步骤 #

1. 准备Redis依赖与客户端 #

先安装Redis客户端：

npm install ioredis

初始化Redis连接：

import Redis from 'ioredis';
const redis = new Redis({
  host: '你的Redis地址',
  port: 6379,
  password: '你的Redis密码' // 有密码则添加
});

2. 登录时生成绑定关系 #

覆盖Keystone的默认登录逻辑，在用户验证通过后生成令牌并绑定指纹：

import crypto from 'crypto';
import { compare } from 'bcryptjs';

// 生成请求指纹的工具函数
function getRequestFingerprint(req) {
  // 组合User-Agent和IP，哈希后存储避免明文泄露
  const raw = `${req.headers['user-agent'] || ''}_${req.ip || ''}`;
  return crypto.createHash('sha256').update(raw).digest('hex');
}

// 自定义登录Resolver
async function customLogin(root, args, context) {
  // 先完成账号密码验证
  const user = await context.db.User.findOne({ where: { email: args.email } });
  if (!user || !(await compare(args.password, user.password))) {
    throw new Error('账号或密码错误');
  }

  // 用Keystone内置方法生成session令牌
  const token = await context.session.generateToken({ userId: user.id });
  // 获取当前请求的指纹
  const fingerprint = getRequestFingerprint(context.req);
  
  // 将绑定关系存入Redis，过期时间与session保持一致（示例为7天）
  await redis.set(
    `auth:${token}`,
    JSON.stringify({ userId: user.id, fingerprint }),
    'EX',
    60 * 60 * 24 * 7
  );

  // 设置Cookie，生产环境必须开启secure和httpOnly
  context.res.cookie('keystone-session', token, {
    httpOnly: true,
    secure: process.env.NODE_ENV === 'production',
    sameSite: 'strict',
    maxAge: 60 * 60 * 24 * 7 * 1000
  });

  return { success: true, user };
}

记得将这个自定义Resolver替换Keystone默认的登录接口。

3. 全局中间件做指纹验证 #

在Keystone的中间件链中添加验证逻辑，每次请求都检查指纹匹配：

// 自定义指纹验证中间件
async function fingerprintAuth(req, res, next) {
  const token = req.cookies['keystone-session'];
  if (!token) return next(); // 未登录，交给默认逻辑处理

  try {
    const storedData = await redis.get(`auth:${token}`);
    if (!storedData) {
      // 令牌过期或不存在，清除Cookie
      res.clearCookie('keystone-session');
      return next(new Error('会话无效'));
    }

    const { fingerprint: storedFingerprint } = JSON.parse(storedData);
    const currentFingerprint = getRequestFingerprint(req);

    if (storedFingerprint !== currentFingerprint) {
      // 指纹不匹配，视为冒用，清除Redis记录和Cookie
      await redis.del(`auth:${token}`);
      res.clearCookie('keystone-session');
      return next(new Error('会话验证失败'));
    }
  } catch (err) {
    console.error('指纹验证出错:', err);
    res.clearCookie('keystone-session');
    return next(new Error('认证失败'));
  }

  next();
}

// 在Keystone配置中注册中间件
export default config({
  server: {
    middleware: [fingerprintAuth],
  },
  // 其他配置...
});

额外加固手段 #

• 强制HTTPS：生产环境必须开启Cookie的secure属性，防止令牌在传输过程中被窃听。
• 缩短令牌有效期：将session过期时间设为1天，同时实现刷新令牌机制，刷新时重新绑定新指纹。
• 优化指纹生成逻辑：可加入浏览器语言、时区等信息提高唯一性，但需注意用户换IP的场景（如手机流量切换基站），可允许同网段IP波动，避免误拦截合法用户。
• 令牌手动撤销：为用户添加注销功能，点击后删除Redis中对应的令牌记录。
• 异常监控：记录指纹不匹配的请求，同一令牌多次出现不同指纹时直接失效并触发告警。

注意事项 #

• Redis高可用性：若Redis宕机将导致所有用户无法访问，建议搭建Redis集群或哨兵模式。
• 兼容合法指纹变化：用户换设备登录时，需提供二次验证（如短信验证码）来更新绑定的指纹，避免直接拦截合法用户。

内容的提问来源于stack exchange，提问作者AntonP