Ребят по заданию я должен отправлять пользователю два JWT токена

Rinad Erezhepov
Верни просто в body объект json с полями HTTP/1.1...

Проблема клиента где он будет их хранить Главное что бы refresh токен был одноразовым

0

10.04.2022

Rinad Erezhepov
Верни просто в body объект json с полями HTTP/1.1...

У refresh token тоже expire есть

0

10.04.2022

Sardar

Andrey Burov
Проблема клиента где он будет их хранить Главное ...

зачем нужен рефреш если он одноразовый?

0

10.04.2022

Dmitriy Sviridov

И в куку (httponly secure), и в респонсе. Кука - для браузера. В респонсе - для мобильных приложений

0

10.04.2022

Sardar
зачем нужен рефреш если он одноразовый?

При запросе по рефреш токену придет новая пара с новым рефреш токеном

0

10.04.2022

Dmitriy Sviridov

Sardar
зачем нужен рефреш если он одноразовый?

Для ротации токенов

0

10.04.2022

Sardar

Rinad Erezhepov
При запросе по рефреш токену придет новая пара с н...

Мощно. Спасибо

0

10.04.2022

Sardar
зачем нужен рефреш если он одноразовый?

когда делаешь refresh токенов, выдается новый access и новый refresh

0

10.04.2022

Dmitriy Sviridov
И в куку (httponly secure), и в респонсе. Кука - д...

Для браузера и мобилки не нужен рефреш токен! Он нужен когда есть third party приложение (сервисная часть), которое зарегистрировано в нашем и ему есть доверие, и которое будет обновлять аксес токен без участия пользователя. Для браузера и мобилки пойдет просто токен/кука/айди сессии, которые могут обновляться при последующих запросах.

0

10.04.2022

не нужно

0

10.04.2022

Andrey Burov
не нужно

Ну не делайте тогда

0

10.04.2022

Лев

Я просто локал сторажд пихаю

0

10.04.2022

так и есть, нет не блочатся, если нужно принудительно кого-то разлогинить, то можно вести blocklist отозванных токенов (которые еще валидны)

0

10.04.2022

Andrey Burov
так и есть, нет не блочатся, если нужно принудител...

Просто часто вижу когда жаваскриптеры дергают каждый раз рефреш , и получают ацесс на каждый запрос )) видимо им лениво делать обработку expire ?

0

10.04.2022

Можно валидировать публичным ключом разве нет ? Эппл так делает

0

10.04.2022

Генератор на приватном ключе , валидатор на публичном , как в пример ssh ключи

0

10.04.2022

Потому можно в приложения добавлять публичные ключи , и проверять валидность токена не ходя на сервис авторизации.

0

10.04.2022

Денис Ильиных
Просто часто вижу когда жаваскриптеры дергают кажд...

Ага

0

10.04.2022

Rinad Erezhepov · Accepted Answer