Не говорите, что это ко фронтэндерам. они ребята наивные и

Question

Не говорите, что это ко фронтэндерам. они ребята наивные и

лучше бэкэндера на этот вопрос никто не ответит

и так, мужики и котята. вопрос будет сейчас про фронтэнду, но не для них, т.к. эти котятки вряд ли знают, что такое информационная безопасность. мне нужно на сайте создать какой-нибудь guard для проверки ролей после авторизации. на бэке всё проще в плане безопасности, так шо пох.

но лучше я с вами обсужу, т.к. эта точка соприкосновения должна быть известна многим.

так вот, я вижу это так:
допустим у нас есть печенька, которую мы постоянно отсылаем при запросах. Может тогда в эту печеньку заныкать роль пользователя, например как в JWT, шоб в стейте топорно не хранить такие данные? не звучит надежно чот...

или может лучше сразу использовать хранилища приватные в стейте? ну и что нам это даст?

может тогда сделать какую-нибудь штучку , которая будет постоянно роль респонсом с сервера отправлять и на фронте редирект сделать, если роль не совпадает?
а будет ли тут подмена?

#backend #javascript #node.js #programming #russian

0

06.10.2023

15 ответов

16 просмотров

Spyro Автор вопроса

Алексей Попов
А давай вопросы по фронту задавать в чате фронта

тут полу-то, полу-другое, не?

0

06.10.2023

МСМК

Делать как удобно, главное чтобы нельзя было подделать и был контроль в случае если, например, надо отозвать какие-либо права

0

06.10.2023

Алексей Попов

Spyro
тут полу-то, полу-другое, не?

Нет

0

06.10.2023

Spyro Автор вопроса

Алексей Попов
Нет

с удовольствием бы тебя послушал там, ответишь?

0

06.10.2023

Алексей Попов

Spyro
с удовольствием бы тебя послушал там, ответишь?

Нет, я не занимаюсь фронтом и не решаю фронтовые задачи

0

06.10.2023

˸̧̨ ͅBlack Akula˸̧̨ ͅ ̤ ̬̪

А какая разница? Что кука, что jwt - сервер всё равно проверяет. А если у клиента украли ключ, то какая разница, откуда его украли - с хттп хедера или с тела запроса или с локал хранилища?

0

06.10.2023

¿Сергей?

Почему не возвращать роль пользователя при получении этого пользователя? Обычно есть какой-то эндпоинт типа /api/users/me

0

06.10.2023

Spyro Автор вопроса

¿Сергей?
Почему не возвращать роль пользователя при получен...

Так вот я думаю делать так при каждом запросе

0

06.10.2023

¿Сергей?