As permissões e funções de acesso devem ser incluídas na carga útil do JWT?

As informações sobre as permissões e funções do cliente devem ser incluídas no JWT?

Ter essas informações no token JWT será muito útil, pois sempre que um token válido chega, seria mais fácil extrair as informações sobre a permissão do usuário e não será necessário chamar o banco de dados para o mesmo. Mas incluir essas informações e não verificar as mesmas no banco de dados será um problema de segurança?

Ou,

Informações como a mencionada acima nunca devem fazer parte da JWT, e apenas o banco de dados deve ser usado para verificar as funções de acesso e as permissões de um usuário?

O objetivo de incluir reivindicações no token é para que você não precise ter essa comunicação entre o recurso e o provedor de autenticação.

O recurso pode apenas verificar se o token possui uma assinatura válida e confiar no conteúdo.

Supondo que a chave privada seja privada para o servidor de autenticação, você é bom. Alguns fornecedores mudam de chave para reduzir o risco.

Se você pensar bem, se o recurso fez uma chamada de volta ao servidor de autenticação para obter as reivindicações. Então, é essencial garantir que ele esteja conversando com o servidor certo por métodos de confiança semelhantes.

Pela minha experiência, se todos os seus sistemas estiverem usando algum banco de dados central de permissões e funções, você poderá adicionar tudo isso ao JWT.

No entanto, essa abordagem pode não funcionar bem em cenários de SSO quando o próprio servidor de autenticação não tem idéia alguma sobre o sistema de destino que receberá e confiará no token.

As funções e permissões do usuário são inteiramente do destinatário do token JWT. É especialmente verdade quando você integra a autenticação SSO ao JWT em alguns sistemas legados que já possuem seu subsistema de permissão e, portanto, eles precisam de apenas uma declaração para estar presente na JWT - a reivindicação da identidade do usuário.