бы делать отдельную апу для апи. Как правильно делать авторизацию по токену в хедере? Первое что в голову приходит - декоратор для вьюхи
Почему именно в хэдере хочешь?
Какие ещё есть варианты? Вроде джвт в хедере передают
Что токен? я и хочу передать токен в хедере
Ну например для Telegram он передается в query параметрах
Я хочу унифицированную авторизацию для гет и пост запросов
На api/token отдаешь access token на фронте записываешь этот токен в local storage на следующие хттп запросы отдаешь токен в хедере и на беке проверяешь валидность
еще посмотри про refresh token
Апи не для фронта. Но в общих чертах я вроде об этом и пишу, интересует именно как делать авторизацию под это, пока склоняюсь к token_required декоратору https://circleci.com/blog/authentication-decorators-flask/
так бек не должен работать с локал стораге
Для простого приложения рефрешь оверхед. В токен модно зашить срок действия просто и мидлваркой (не знаю есть они во фласке или нет) перехватывает, проверять и отдавать 403 если потух и тогда фронт идёт за новым и пользователю говорит что надо ввести пароль/смс/ну или любой другой механизм аутентификации
почему оверхед то?
Если ты уже знаешь как все сделать и вопрос только в проверке, то да, декоратор, в декораторе смотришь request (как вероятно и планировал)
У меня нет фронта. Есть только фласк аппа с джинджей
Во фласке миддлвари есть, но они хитрые какие-то
ты где аксес хранить хочешь?
Может он хочет что-то вроде bearer token
так он про это и говорит
Рефреш токен нужен только тогда, когда используешь jwt. В остальных случаях хватит одного токена
по сути lwt - это обычный хеш, по RPC только в нем состав обязательный описан) не рефреш хеш, сделай его токеном, просто сохрани структуру jwt чтобы потом можно было переключиться на рефреши при необходимости)
Я знаю. Но проблема в том, что как и описал выше, jwt был придуман для микросервисной архитектуры. В одном приложении хватит и одного токена и не обязательно это делать jwt, точнее я бы даже этого не рекомендовал, а то потом подумают, что зачем хранить в базе, если можно так проверять
в целом да) но лучше иногда все таки его сбрасывать, если токен скомпрометирован будет)
https://t.me/ru_flask/152040
Обсуждают сегодня