170 похожих чатов

Вопрос про refreshToken. Пользователь авторизуется и получает пару refreshToken + accessToken У

accessToken срок 3 минуты.
После истечения accessToken мы обновляемся используя refreshToken + accessToken
Но что если я авторизуюсь через другой браузер, и refreshToken в бд перезаписывается, как быть для этого для первого пользователя?

28 ответов

12 просмотров

Первый пользователь будет разлогинен когда его access токен протухнет, нет?

Макс-Кот Автор вопроса
Макс-Кот Автор вопроса
Pavel
Первый пользователь будет разлогинен когда его acc...

Он уже не получит новый accessToken, так как refreshToken был перезаписан..

держешь в базе до Н числа сессий на юзера, например 5

https://gist.github.com/zmts/802dc9c3510d79fd40f9dc38a12bccfc

ответ - не делать это всё самому, возьми уже готовое

А зачем токен в базе хранить?

Makima
https://gist.github.com/zmts/802dc9c3510d79fd40f9d...

это сразу удаляй, люди соберут все возможные грабли, реализуя это самостоятельно

Ayrat Hudaygulov
это сразу удаляй, люди соберут все возможные грабл...

ты говоришь с позиции своего многолетнего опыта, джунам полезно и самим свои жвт написать имхо

Макс-Кот Автор вопроса
Дмитрий Алексеев
А зачем токен в базе хранить?

Вы имеете ввиду в сервере хранить сессии?

Makima
ты говоришь с позиции своего многолетнего опыта, д...

меня ещё немного корёжит от слова JWT аутентификация. А если я в той же схеме выше вместо JWT буду аксец токены гуидами выдавать, что-то поменяется?

Makima
не поменяется в принцыпе

именно. Потому что аксец токены по OAuth - opaque string вообще насрать что там

Ayrat Hudaygulov
именно. Потому что аксец токены по OAuth - opaque ...

да но опять же, ты говоришь с позиции своего опыта и уровня знаний, для большинства твои слова шифр тут хоть ты и прав

refreshtoken обязан жить до истечение своего времени жизни

Roman Bukin
НИ ХУ Я

тиха, я на это расчитываю когда пишу код

кароч есть сессия, сессия это активная пара аксесс рефреш токенов

Makima
кароч есть сессия, сессия это активная пара аксесс...

всё немного сложнее. А если сессия была на 4 audience + on_behalf, где возможен token exchange?

Ayrat Hudaygulov
всё немного сложнее. А если сессия была на 4 audie...

сложнее, но у него то пет проект обычный и желание понять как работает жвт )

Makima
сложнее, но у него то пет проект обычный и желание...

жвт - это всего лишь обосанный контейнер для передачи клеймов с опциональной подписью, ты с тем же успехом клеймы можешь в XML передавать с подписью в query (и получишь SAML Redirect Binding)

Makima
да но надо с малого начинать )

ну ок, погугли про другие контейнеры для токенов - paseto например

можно сделать сущность UserSession и туда писать рефреш сериализованный например

Похожие вопросы

Обсуждают сегодня

Комрады, хотел уточнить. Проперть в OnDestroy юнита-хозяина по-прежнему доступна? И еще уточнение: finalization юнита наступает раньше или позже OnDestroy?
Ed Doc
38
Проблема с Windows scripting control Множество объектов получают iDispatch обертки и отдаются в скрипты. При этом скрипты могут эти обертки держать живыми очень долго, наприм...
Arioch The
16
Я тут пытаюсь переработать архитектуру подсистемы памяти ядра во что-то осмысленное. Есть pmm, который создает набор range’ей(пока что только для ядра, потом для юзерспейса), ...
Evg Resh
9
Скажите, можно ли как-то "переместить" динамический массив из одной переменной в другую? Скажем, переместить из TList<> в TArray<>. Именно переместить, а не скопировать. Если ...
Eugene Krasnikov (ᴊɪɴ x)
37
комрады, че-та лыжы не едут var tmpFont: TFont; begin tmpFont:= TFont.Create; try case rgFontColor.ItemIndex of 0: tmpFont.Color:= clWindowText; 1: tmpFo...
Ed Doc
34
Вот еще криповенькая штука. uMain.pas(517,3) Warning: Case statement does not handle all possible cases И ЧО? 😂
Александр (Rouse_) Багель
20
Интересно, нет ли какого-то способа получить из dll не адрес самой метки, а адрес со смещением?
The Bird of Hermes
54
коллеги, а есть простой способ определить, что программу из под Delphi запускают?
Михаил
10
40 тысяч в час / 3600 = 11,11 в секунду... Вам точно нужна очередь? (я просто не знаю "контекста") Такое количество запросов любое приложение замечательно "прожует" и не попер...
Igor Mitin
5
М-да. Почему бы просто со stringlist не работать?
Michael Longneck
23
Карта сайта