стандартные auth аблицы джанго.
В постгрес больше ничего про токены или JWT нет, только штатные таблицы по умолчанию (юзеры, группы, пермишены итд). obtain-token работает, refresh-token обновляет токен и его expdate. Так что не использет оно базу вообще. Оно генерирует токен с данными на основе SECRECT_KEY джанго, и при проверке расшифровывает секретную чать и сравнивает его с body токена.
Но тогда не получится отозвать токен, из-за общего ключа SECRECT_KEY для всех токенов, поэтому в доках написано об опции где каждому юзеру можно назначить свой секрет посредством калбека, я просто выдаю хеш пользователя как секрет. Так при смене пароля старый токен автоматом будет недействительным.
Но получается что при утечке базы хакер сможет сгенерировать токен если у него есть хеш пароля. Нужно дополнительно посолить его? Или я ваще запутался?
в самом конце у тебя ошибка закралась, в случае слива базы, хакер не сможет сгенерировать токен, поскольку у него нет общего secret_key
Обсуждают сегодня