каждый раз к бд и вытягивать нужного мне пользователя и роль по id (или использовать блэк-лист). А в случае, если актуальность не сильно принципиальна, то можно просто хранить роль в самом токене. И это не будет считаться грубой "ошибкой"?
Не будет. Главное токен держать в надежном месте на фронте в таком случае.
Спасибо, хотя токен лучше всегда хранить в надёжном месте)
Ну, если у тебя СПА, которое общается с бэком по ресту - то это сложно.
Так, в случае с СПА, где лучше access токен хранить? Я вариантов знаю не так уж и много..
А их нет особо. Куки не пропустит браузер (cors)
Рефреш-то понятно, но зачастую с аксес, его либо в локалке, либо в памяти клиентского приложения хранят.
Понял
Ну если у аксес токена большой срок жизни - беда
Да не, 15 мин ставлю
или около того
Тогда терпимо. А рефреш куда-то надо прятать.
Если тебе нужны актуальные токены то откажись от jwt, ты используешь его неправильно
Ставить 30 секунд
Можно поподробнее, в какую сторону мне смотреть и так ли это критично? Просто бэк впервые пишу)
Сессии
Понял, но у них тоже свои минусы есть, а как правильно использовать jwt тогда?
До тех пор пока у тебя один сервер не беке, тебе jwt не нужен.
Спасибо, изучу. Доброй ночи
Обсуждают сегодня