Ребят можете подсказать, есть задание &#34;написать сервис аутентификации&#34; - 4

Какой смысл хранить токены в базе?

0

11.11.2020

🎅 СНГ
Какой смысл хранить токены в базе?

для возможности разлогиниться в случае атаки злоумышленника

0

11.11.2020

Алексей Долгов
для возможности разлогиниться в случае атаки злоум...

Достаточно укоротить срок жизни токена 5 минутами?

0

11.11.2020

Elmanov Anton
Достаточно укоротить срок жизни токена 5 минутами?

так access token и не должен жить долго

0

11.11.2020

Алексей Долгов
так access token и не должен жить долго

в теории. а так много где видел полувечные access токены на день или два. не очень секьюрно

0

11.11.2020

Алексей Долгов
в теории. а так много где видел полувечные access ...

Юзерские токены могут быть jwt и должны быть короткими. И держать для отмены их в бд не очень нужно. Токены для общения микросервисов по внутренней сети могут вечно жить.

0

11.11.2020

Elmanov Anton
Юзерские токены могут быть jwt и должны быть корот...

так тут два токена - access token и refresh token. access не хранится и имеет котороткий срок жизни. refresh хранится только у юзера и у сервиса который access выдает

0

11.11.2020

Rail Batyrshin Автор вопроса

🎅 СНГ
Какой смысл хранить токены в базе?

В ТЗ так описано, хранить только рефреш токен

0

11.11.2020

Алексей Долгов
так тут два токена - access token и refresh token....

В той либе, что я скинул изначально, все токены хранятся, в моем случае это был редис https://github.com/openshift/osin Возможно, это какая-то особенность oauth, что там без хранения никак

0

11.11.2020

Rail Batyrshin Автор вопроса

Алексей Долгов
для возможности разлогиниться в случае атаки злоум...

я вообще не вкурил как это работает - сижу плачу

0

11.11.2020

Rail Batyrshin
я вообще не вкурил как это работает - сижу плачу

это просто: 1. вводим пароль и юзернэйм. сервис выдает нам 2 токена - access и refresh. это роут login 2. кидаем access token и refresh token. из access если он jwt мы можем вынуть имя юзера или id и по нему в базе найти refresh и если все ок выдать новый access. это роут refresh

0

11.11.2020

Rail Batyrshin Автор вопроса

Алексей Долгов
это просто: 1. вводим пароль и юзернэйм. сервис вы...

а в параметре запроса необходимо еще указать GUID, это тоже генерируется каким то модулем?

0

11.11.2020

Rail Batyrshin
а в параметре запроса необходимо еще указать GUID,...

какой guid?) для самого запроса?

0

11.11.2020

Rail Batyrshin
а в параметре запроса необходимо еще указать GUID,...

id запроса пусть фронты генерят. не бэковское это дело

0

11.11.2020

Rail Batyrshin Автор вопроса

Алексей Долгов
какой guid?) для самого запроса?

сейчас

0

11.11.2020

Rail Batyrshin
В ТЗ так описано, хранить только рефреш токен

Создатель тз чудаковатый слегка.

0

11.11.2020

Rail Batyrshin Автор вопроса

🎅 СНГ
Создатель тз чудаковатый слегка.

это от компании MEDODS, хотел как нуб постажироваться на NodeJS, а задание дали на Go, да и сложноватое для меня. Хотя я Go пару дней изучаю)

0

11.11.2020

Алексей Долгов
это просто: 1. вводим пароль и юзернэйм. сервис вы...

И где тут про oAuth?

0

11.11.2020

Rail Batyrshin
это от компании MEDODS, хотел как нуб постажироват...

А го тут не при чём, jwt.io посмотрите сколько там яп поддерживается.

0

11.11.2020

🎅 СНГ
И где тут про oAuth?

У тебя несколько сервисов. ты идешь в сервис авторизации, он тебе выдает токен с правом доступа в сервис библиотеки, с полученным токеном ты идешь в библиотеку. Библиотека тебе верит. 1.идентификация 2. аутентификация. 3. Запрос прав(авторизация). 4. Получение токена. 5. С токеном ты получаешь доступ к ресурсам

0

11.11.2020

Алексей Долгов
У тебя несколько сервисов. ты идешь в сервис автор...

Вооот, это да, про oauth, но это не jwt же.

0

11.11.2020

Elmanov Anton · Accepted Answer