глобальный хук, там идет проверка, если человек авторизован, то окей, он будет дальше проходить если нет, то идет редирект на страницу логин
есть ещё роут (второй скрин), я бы хотел добавить его в массив publicPages пробовал несколькими способами, но все равно без результата, как можно решить эту проблему?
Не храни токен в localStorage!
А где его хранить ? xD
https://medium.com/nuances-of-programming/%D0%BF%D0%BE%D0%BB%D0%BD%D0%BE%D0%B5-%D1%80%D1%83%D0%BA%D0%BE%D0%B2%D0%BE%D0%B4%D1%81%D1%82%D0%B2%D0%BE-%D0%BF%D0%BE-%D1%83%D0%BF%D1%80%D0%B0%D0%B2%D0%BB%D0%B5%D0%BD%D0%B8%D1%8E-jwt-%D0%B2%D0%BE-%D1%84%D1%80%D0%BE%D0%BD%D1%82%D0%B5%D0%BD%D0%B4-%D0%BA%D0%BB%D0%B8%D0%B5%D0%BD%D1%82%D0%B0%D1%85-graphql-b9b5103062a3
А самому написать не судьба?
👌 но щас дела в другом, вон ту проблему никак не могу решить как добавить динамический роут во внутрь массива publicPages чтобы при переходе на этот роутЮ vue-router не делал редирект на логин
Ты же понимаешь что в случае xss, токен достать не проблема, откуда угодно?
Как достанешь токен из замыкания?
оберну фетч и отправлю себе на сайт
Ок, лучше будет, если вообще вынести всё в какой-нибудь воркер. Использование замыкания лишь делает токен менее доступным
Что мешает в случае xss создать воркер, который будет перехватывать все запросы? А в запросах лежит твой токен. Просто как идея
Если честно, я не знаю, в каком порядке будут работать сервис воркеры, если их несколько)
Просто я для себя решил, что удобство нескольких открытых вкладок и возможность не терять логин в течение действия токена важнее)
Так он не теряется при нескольких вкладках, отличие только в ожидании на 1 запрос при первом открытии
Ну я про сценарий, когда у тебя форма логина, ты отправляешь креды, получаешь уникальный токен на час. Открываешь эту же страницу в новой вкладке. Тебе снова надо логиниться, и тогда дадут новый токен. Старый перестанет действовать. Без рефрештокена
А мы про вариант с jwt + refresh)
Надо попробовать)
принцип то какой? событие fetch?
даже если выйдет, то там же тонна возможностей отследить установку воркера, по-любому можно будет понять, что кто-то инжектится
Я согласен. Но это начинается борьба бобра с ослом. Проблема не в том, где токен хранится. А в том, что вообще произошла XSS атака
почему? Вот если токен хранится в LS, то как будем бороться с ослом?
Обсуждают сегодня