При авторизации пользователь получает рефреш токен, который в свою очередь

Question

При авторизации пользователь получает рефреш токен, который в свою очередь

генерирует ему access токен для доступа.
При повторной авторизации рефреш токен изменяется.

1 вопрос. Рефреш токен мы же храним в БД, а access токен сы расшифроваем и проверяем его на валидность, верно? ( если нет, то объясните)

2 вопрос. Вот я получил рефреш токен на пк от пользователя "Петя" и захотел авторизоваться через телефон под пользователем "Петя", тем самым получу рефреш токен, а предыдущий станет не валидным, и получается с ПК я разлогинусь. Возможно ли реализовать для нескольких устройств, если да, то как?

#backend #dot #programming #russian

0

10.04.2022

10 ответов

6 просмотров

Ayrat Hudaygulov

Ayrat Hudaygulov
Лучше не делай свою авторизацию, это проклятая обл...

Там всё настолько хуево в плане секурити, что проебаться можно ВЕЗДЕ. поэтому там странные куки, хедеры, стейты какие-то пересылаются, токены в фрагментах, редирект урлы с вайтлистом

0

10.04.2022

Oleg Safonov

И тут ты должен предложить приобрести свое платное решение

0

10.04.2022

Ayrat Hudaygulov

Oleg Safonov
И тут ты должен предложить приобрести свое платное...

Я кстати могу предложить свои платные услуги по настройке айдентити менеджмента в вашей компании! Облачное, онпрем, легаси, кастом, федерации, хуерации, ССО - 500 долларов в час и я твоя

0

10.04.2022

FSnikers Zhuk Автор вопроса

Ayrat Hudaygulov
Лучше не делай свою авторизацию, это проклятая обл...

Чисто для себя понимать

0

10.04.2022

Ayrat Hudaygulov

1. Рефреш токен хранится у юзера где-то (локал сторадж, куки) Айди этого токена (jti) хранится на сервере для возможного ревоука (отзыва) и для мониторинга сессий. 2. Ты можешь иметь несколько активных сессий. Можешь и не иметь. Зависит от твоих секурити политик. От них и настраивай выдачу токенов (отзывать все предыдущие при логине из нового места или вносить в список активных с уведомлением о логине из нового места/девайса предыдущим сессиям)

0

10.04.2022

FSnikers Zhuk Автор вопроса

Ayrat Hudaygulov
1. Рефреш токен хранится у юзера где-то (локал сто...

а как примерно в коде бы выглядело? я бы раскодировал полученный токен от клиента и проверял его на актуальность?

0

10.04.2022

Ayrat Hudaygulov

FSnikers Zhuk
а как примерно в коде бы выглядело? я бы раскодиро...

Сверял бы айди токена со списком активных сессий пользователя и если не находил бы там такой - кидал бы в ответ 401

0

10.04.2022