Кто юзает tymon/jwt-auth при дефолтных настройках, вы в курсе, что

Question

Laravel Pro

Tiny Locker

Кто юзает tymon/jwt-auth при дефолтных настройках, вы в курсе, что

если у клиента украдут токен, то мошеннник сможет его бесконечно рефрешить?

#backend #laravel #php #programming #russian

0

20.08.2021

6 ответов

18 просмотров

Tiny Locker Автор вопроса

ну умные люди придумали рефреш токен, который хранится уже в базе и после рефреша генерится новая пара ключей, по этому можно поставить жизнь аксес токена 5 минут, владелец токена рефрешит токены, а мошенник уже не сможет ибо его рефреш токен протухнет

0

20.08.2021

dev .

ну это все же полумера. мошеЙнику достаточно при получении ключей насильно дернуть рефреш чтобы легал клиент отпал

0

20.08.2021

Алексей

ключи можно по разному получить, и не всегда если у тебя есть токен у тебя есть и рефреш токен. зависит от того в какой момент и каким образом злоумышленник "подсосался"

0

20.08.2021

Tiny Locker Автор вопроса

ну получит он опять аксес токен на 5 минут, а клиент имея логин и пароль получит новый рефреш и новый токен и мошенник останется ни с чем

0

20.08.2021

Алексей

если у мошенникак есть и рефреш токен - он просто зарефрешит сразу по получению. что собственно приведет к разлогину основного юзера. который в свою очередь может залогиниться и пойти нажать кнопку "разлогиниться на всех устройствах кроме этого" но с учетом того что сейчас сплошное https украсть токен становится все сложнее. нужно заразить машину юзера чтобы утянуть токен с куков/сторожки. но с тем же успехом можно и логин пароль подождать, и баловаться уже с ними

0

20.08.2021

Paamayim Nekudotayim · Accepted Answer

Paamayim Nekudotayim

клиент сам виноват что за токеном не уследил))

0

20.08.2021

170 похожих чатов

Кто юзает tymon/jwt-auth при дефолтных настройках, вы в курсе, что

6 ответов

Похожие вопросы