Народ! я тут холиварю, почему надо юзать JWT, а не

localStorage, sessionStorage и прочие не предназначены для чувствительных данных, потому что видны скриптам. А видимость кук можно ограничить только серверами

0

14.06.2022

Аноним

Maxim Lebedev
куки единственная сущность к которой можно явно за...

1) А в чём проблема хранить access токен в памяти ? (в нашем случае - во временной переменной) Назовите мне хоть один вредоносный скрипт, который кроме хранилищ парсит все переменные приложения 2) Как будете без доступа к токену проверять его время жизни для отправки запроса на обновление ? 3) Как вы себе представляете работу с куками в мобильных приложениях ?

0

14.06.2022

Bat

Аноним
1) А в чём проблема хранить access токен в памяти ...

А парсить все переменные и не нужно, прежде чем попасть в память этот токен должен как-то прилететь - либо в незащищенную куку, либо заголовком либо в теле ответа. Собственно там и есть возможность его поймать. Так что декламатор выше прав - только httpOnly + secure cookie

0

14.06.2022

Аноним

Bat
А парсить все переменные и не нужно, прежде чем по...

Пожалуй соглашусь. Плюс через куки банально намного удобней. Тогда вопрос - а как фронт должен понимать, что ему запрос на refresh надо отправить ? Когда в ответе приходит что токен недействителен ?

0

14.06.2022

Bat

Аноним
Пожалуй соглашусь. Плюс через куки банально намног...

да

0

14.06.2022

Александр Парамонов

Bat
А парсить все переменные и не нужно, прежде чем по...

Зачем вообще jwt, если сессия уже запущена и пользователь и так аутентифицируется?

0

14.06.2022

Аноним

Александр Парамонов
Зачем вообще jwt, если сессия уже запущена и польз...

Чтобы на каждом запросе не лазить в базу, например за ролью пользователя

0

14.06.2022

Bat

Александр Парамонов
Зачем вообще jwt, если сессия уже запущена и польз...

jwt нужен когда у тебя несколько сервисов, т.к. в нем ты можешь зашить основную инфу (которая тебе нужна) о юзере и тебе не придется на каждый хит слать запрос в бд или сервис юзеров/аутентификации.

0

14.06.2022

Александр Парамонов

Аноним
Чтобы на каждом запросе не лазить в базу, например...

Сохрани все, что кодируешь в jwt - в сессию, зачем придумывать велик) Если нужно stateless, то сессии не нужны

0

14.06.2022

And

Аноним
Чтобы на каждом запросе не лазить в базу, например...

Это можно в мапу засунуть. Я насколько понимаю JWT хорош там где много серверов и когда нет необходимости в репликации обширных данных пользователя.

0

14.06.2022