شرح صفوف ومحتوى الفقرة
عند تصميم معمارية نظام جديد، متى تختار مصادقة الجلسات بالكوكيز (التي درسناها في الدرس السابق) ومتى تختار مصادقة الرموز الحاملة في حقل الرأس؟ يوضح الجدول الآتي المقارنة الهندسية الحاسمة:
| المعيار المعماري | مصادقة الجلسات (Session Cookies) | مصادقة الرموز (Bearer Tokens) |
|---|---|---|
| حقل النقل في HTTP | تلقائياً عبر حقلي Set-Cookie وCookie. |
برمجياً عبر حقل الرأس Authorization: Bearer. |
| البيئة الأنسب للاستخدام | تطبيقات الويب في المتصفح وتطبيقات الصفحة الواحدة لنفس النطاق. | تطبيقات الهواتف الذكية، وأدوات سطر الأوامر، والواجهات العابرة للنطاقات. |
| الحماية من سرقة XSS | عالية جداً مع تفعيل HttpOnly (لا يقرؤها كود JS). |
معرضة للخطر إذا خُزنت في localStorage داخل المتصفح. |
| التعرض لهجمات CSRF | تتطلب تفعيل SameSite ورموز CSRF لأن المتصفح يرسل الكوكي تلقائياً. |
محصنة طبيعياً ضد CSRF لأن المتصفح لا يرفق حقل Authorization تلقائياً. |
| الإبطال الفوري عن بُعد | فوري ولحظي بحذف السجل من ذاكرة الخادم (Redis). | رموز JWT عديمة الحالة تبقى صالحة حتى انتهاء وقتها ما لم تُفحص بقائمة حظر. |