при смене пароля? Использовать версионирование?
Ну как-как... В редисе хранишь список авторизационных токенов для user_id. Когда меняется пароль, просто удаляешь все токены и при авторизации добавляешь новый. При разлогине удаляешь текущий. Всё просто.
В сторедже хранить токен вообще не оч хорошо. Любой подключаемый скрипт на странице имеет доступ к хранилищу. Можно спереть токен. XSS атака называется. Можешь использовать токен в http-only cookie На шо тебе его хранить в сторедже. Но тогда тут другая уязвимость. CSRF-атака. И чтоб защититься, нужно внедрять на страницу CSRF токен.
А есть альтернатива JWT? Или может быть другой способ?
Генерируй рандомный md5 и сопоставляй с юзером. Можешь ещё с временем истечения сопоставить. А потом по времени удалять токены.
Обсуждают сегодня