Всем привет Уперся в такой прикол. У меня рест сервис бэк, фронт

Question

Всем привет Уперся в такой прикол. У меня рест сервис бэк, фронт

спа(реакт)
Суть в том, что аутентификация у меня идет по jwt токену который шлется через хедер "Authorization" запроса.
И есть у меня картинки сущностей, которые есть в приложении. Суть в том, что просматривать инфу по сущностям могут только auth пользователи, соответственно и картинки по логике я хочу отдавать только auth пользователям. Поэтому мапинг открывать не хочу. Но в таком случае, как организовать передачу беарер токена?
Чатгпт предлагает грузить картинку через фетч и потом создавать локально url..createObjectURL из полученного блоба, но что-то хуйня решение, учитывая что url.createObjectUrl эксперементальная функция
Как поступить?

#frontend #javascript #programming #react.js #russian

0

28.08.2023

17 ответов

24 просмотра

Maks 🇺🇦 Автор вопроса

памагити реактеры

0

28.08.2023

Maks 🇺🇦 Автор вопроса

Alexander Malenkov
а поч токен не хранить бы в local storage наример?

я храню его, все ок с этим просто я ж не могу уебать просто <img src="path"/>

0

28.08.2023

Maks 🇺🇦 Автор вопроса

Maks 🇺🇦
я храню его, все ок с этим просто я ж не могу уеб...

ибо сам браузер мне его не прикрутит в хедер

0

28.08.2023

Alexander Malenkov

Alexander Malenkov
а поч токен не хранить бы в local storage наример?

шо ты мне токсичные реацкии ставишь ахаха

0

28.08.2023

Sergey Sova

1. Попросить сделать нормальный урл для получения картинки. Например, сначала запрашивать урл в котором зашит некий токен. 2. Переделать аутентификацию на нормальный подход для веб сервисов — класть токен в cookies. Лучше даже в httpOnly. Так фронтенд вообще забудет о проблемах, и любые сервисы приложения будут автоматически получать токен.

0

28.08.2023

Vlad

ну засунь инфу по сущностям в приват роуты или оутлет че тебе нужно я не понимаю особо до конца

0

28.08.2023

Maks 🇺🇦 Автор вопроса

а какие дыры есть?

0

28.08.2023

Sergey Sova

Maks 🇺🇦
а какие дыры есть?

Необходимо хранить черный список токенов в базе. Иначе токен можно угнать и и выполнять с ним любые вещи, так как забанить невозможно. Еще очень часто указывают алгоритмы подписи не правильные, которые не валидируют подпись вовсе, или позволяют без подписи принять токен. Придется делать refreshToken, что еще один уровень защиты, но который нужно именно что тоже защищать, а это дополнительный код и так далее.

0

28.08.2023

Maks 🇺🇦 Автор вопроса

Sergey Sova
Необходимо хранить черный список токенов в базе. И...

ну про 1ое думал, но пока что не мейн проблема Рефреш токен есть Алгоритм подписи вроде работает

0

28.08.2023

Maks 🇺🇦 Автор вопроса

Maks 🇺🇦
ну про 1ое думал, но пока что не мейн проблема Реф...

буду тогда на куки переделывать

0

28.08.2023