Ребят хелп. Впервые пишу API аутентификации Ouath2. появился ряд вопросов

Question

Ребят хелп. Впервые пишу API аутентификации Ouath2. появился ряд вопросов

по реализации:
1) правильно ли при каждом обращении (например получение списка пользователей под админом) сверять access-token и refresh-token на сервере?
2) нужно ли при каждом запросе к микросервису вытаскивать id юзера из access-токена, бегать в микросервис-авторизации с id и спрашивать совпадает ли у него refresh токен с тем что в сессии (если нет то как тогда быть с тем что клиент разлогинился на конкретном устройстве (в БД затерся refresh сессии) - но access токен по сути не протух а в куках по прежнему лежит refresh. получается если я не затру куки и access-token на клиенте - я всё ровно могу гулять в сервисы после выхода из системы) ?
3) правильно ли перед каждый эндпоинтом в микросервисе авторизации на роут вешать мидлвару где будет сверяться валидность access и refresh ?

#backend #javascript #node.js #programming #russian

0

05.05.2021

3 ответов

29 просмотров

Сергей Пограничный

Зачем

0

05.05.2021

Сергей Пограничный

пейлоуд истекшего токена не должен в принципе трогаться, клиенту вообще истекший аксес при рефреше токенов отправлять не нужно. Новая пара генерируются на основе рефреша в принципе или сессии, которая может быть представлена в виде refresh

0

05.05.2021

Vladislav Stepanov · Accepted Answer

Vladislav Stepanov

Сверять аксесс и рефреш токены надо только при рефреше аксесс токена

0

05.05.2021

170 похожих чатов

Ребят хелп. Впервые пишу API аутентификации Ouath2. появился ряд вопросов

3 ответов

Похожие вопросы