Коллеги, я правильно понимаю, что если secret key от jwt

Question

Коллеги, я правильно понимаю, что если secret key от jwt

скомпрометирован, то злодей может сам создать токен и получить доступ ко всему? Или желательно в токене ещё хранить какую-то инфу, которую можно проверить? Существует ли юзер с таким id или ещё что..

#cryptocurrency #nest #russian

0

04.08.2023

7 ответов

9 просмотров

Alexander Morozov Автор вопроса

Расулходжа Ганиев
если он заполучил подпись то рекомендую в первую о...

Это понятно. Я в целом. Как правильно поступать. Стоит ли дополнительно заморачиваться на проверке токена, даже если он валидный по подписи?

0

04.08.2023

Расулходжа Ганиев

я просто смысла в этом не вижу

0

04.08.2023

Alexander Morozov Автор вопроса

Расулходжа Ганиев
я просто смысла в этом не вижу

Ок. Спасибо за мнение

0

04.08.2023

Sam Fredrickson

Alexander Morozov
Это понятно. Я в целом. Как правильно поступать. С...

а что вы еще сможете проверить если токен валидный? Самая базовая защита это иметь два токена: аксес и рефреш, тем временем когда аксес протухает через 10 минут, а рефреш через месяц

0

04.08.2023

Alexander Morozov Автор вопроса

Если похищен/подобран ключ, то можно создать токен с любым временем жизни. Проверить можно наличие юзера в бд. И брать оттуда же его роди. Например. У меня сейчас в токене прописаны роли в массиве. Если иметь ключ, то создаёшь токен с массивом ролей и делаешь что хочешь.

0

04.08.2023

lutik

Alexander Morozov
Если похищен/подобран ключ, то можно создать токен...

Так епт

0

04.08.2023