Всем привет! Мне нужно сделать так, чтобы юзеры могли авторизоваться при

Question

Всем привет! Мне нужно сделать так, чтобы юзеры могли авторизоваться при

помощи отправки мне через АПИ мыла и пароля.

Почитав доки я понял, что мне нужно в таком случае использовать подход "Password Grant Tokens", что позволит юзеру спокойно авторизоваться через фронт.
Так же это даст возможность обновлять токены через "refresh_token"

Теперь собственно вопрос: безопасен ли такой подход? Использует ли кто-то его на своих проектах?

#laravel #programming #russian

0

24.08.2021

4 ответов

4 просмотра

Vlad Horpynych Автор вопроса

Ну да, по факту через фронт Юзер вписывает свои данные, от фронта уходит запрос с этими данными, на основе него я генерирую и отдаю токен доступа, который фронт будет для текущего юзера при следующих запросах. Если токен истёк - уходит запрос с рефреш токеном для получения новой пары "access-refresh" токенов.

0

24.08.2021

Vladimir 

Тогда вопрос безопасности не совсем верно стоит, на мой взгляд)) обычная аутенфикация по паре email+пароль используется везде, безопасность уже обеспечивает SSL при обмене между клиентом-сервером. Однако есть вопрос по безопасности хранения самих токенов на SPA. У OWASP есть требование/рекомендация не хранить важные данные в localStorage, sessionStorage и не httpOnly куках. Однако других «простых» мест для хранения этих данных на клиенте нет

0

24.08.2021

Vlad Horpynych Автор вопроса

Понял) Я вроде как всё это понимаю, но всё же на всякий решил уточнить) Чтобы потом не оказалось, что моё "понимание" оказалось ложным Насчет хранения на фронте - тоже об этом читал Но пока что хочу сделать более простую версию, а уже увеличение безопасности выписать на будущее Я думал, как вариант, шифровать в токен какую-то дополнительную информацию, которую можно будет проверить при получении запроса Например, тот же ip или что-то подобное, как вариант

0

24.08.2021

Vladimir  · Accepted Answer

Какой из? Password Grand Tokens это подход доступа по токенам, его весь SPA использует. refresh_token это похоже на спецификацию oAuth 2, которая рекомендует выдавать токен доступа access и refresh токен для обновления токена доступа, тоже используют почти все, особенно у тех у кого laravel passport. Так и вопрос? юзеры через апи? или фронт для юзеров через апи? или это публичный апи с доступом любого ?

169 похожих чатов

Всем привет! Мне нужно сделать так, чтобы юзеры могли авторизоваться при

4 ответов

Похожие вопросы